去年帮朋友做安全测试，暴力他丢给我一个自己写的破解登录页面，说“你试试能不能进去”。暴力我没用Burp Suite，破解也没开OWASP ZAP，暴力就写了一段二十行的破解Python脚本。五分钟后，暴力他那个用生日当密码的破解账号就躺在我终端里了。暴力破解这事，暴力核心就一句话：把所有可能的破解密码组合挨个试一遍，直到撞对为止。暴力

很多人觉得这技术离自己很远。破解其实你每天用的暴力WiFi密码、手机锁屏、破解甚至某些老旧路由器的暴力后台，只要没有次数限制，理论上都能被这种笨办法撬开。关键不在于算法多聪明，而在于字典够不够狠、速度够不够快。

先看一个最朴素的例子

假设目标是一个本地登录函数，密码只允许4位数字。代码可以这么写：

import itertools for guess in itertools.product('0123456789', repeat=4): password = ''.join(guess) if login(password): print(f'密码是：{ password}') break 

这段代码跑完一万种组合，在普通笔记本上不到一秒。如果换成6位数字，一百万种，也就十几秒的事。数字密码的搜索空间小得可怜，这就是为什么很多系统强制要求字母加符号。

真实场景里没人这么温柔

我见过一个后台登录接口，没有验证码，没有失败锁定，只靠前端JavaScript做“密码错误”提示。用Python的requests库写个循环，从常见弱口令列表里读密码，每秒能发几十个请求。那个列表是我从GitHub上扒的，叫“top10000.txt”，里面全是“123456”“password”“admin888”这类东西。跑到第37个就中了。

但这里有个坑：很多网站会返回相同长度的响应，你没法靠状态码判断成功。得看响应内容里有没有“欢迎”或者“退出登录”这种字样。我一般会先手动登录一次，把成功页面的特征字符串记下来，再让脚本去匹配。

提速靠的是并发，不是算法

单线程跑字典太慢。用concurrent.futures的ThreadPoolExecutor开20个线程，速度直接翻十倍。不过得注意，有些服务器会封IP，所以最好配合代理池。我试过用免费代理，十有八九连不上，最后还是挂在自己租的VPS上跑，换IP靠重启网卡——简单粗暴但有效。

另一个提速方向是缩小字典。比如你知道目标密码至少8位、包含大写和数字，那就用crunch生成针对性字典，别傻乎乎跑全网通用列表。有次我根据目标公司名“BlueOcean”生成变形字典，把“BlueOcean2023”“BlueOcean!”这类组合放前面，第三分钟就进去了。

防御比攻击更值得琢磨

我自己写登录接口时，一定会加三个东西：失败五次锁定十分钟、每次失败延迟一秒返回、记录失败IP。这三招能把暴力破解的成本拉到极高。曾经有个客户嫌延迟影响体验，我让他自己跑一遍我的脚本——跑了两个小时才试了七百个密码，他当场就同意加上了。

还有个小细节：别在错误提示里区分“用户名不存在”和“密码错误”。统一返回“用户名或密码错误”，否则攻击者能先枚举出有效用户名，再针对性爆破。我见过太多系统栽在这个点上。

最后说句实在的，Python暴力破解本身没什么技术含量，就是个体力活加耐心活。真正有意思的是观察目标系统的反应——什么时候限速、什么时候封IP、什么时候弹验证码。这些反馈比密码本身更能告诉你，这个系统到底安不安全。