百度搜“暴力破解字典txt下载”，暴力前几页全是破解钓鱼站。下载按钮比脸还大，字典载点进去是暴力个压缩包，解压密码藏在三层弹窗广告后面，破解等你输完手机号，字典载弹窗告诉你密码是暴力“8888”——这还算有良心，更多时候解压出来是破解个木马，或者干脆是字典载个空文件夹，里面躺着一行字：“傻逼，暴力这都信。破解”

但字典本身是字典载真实存在的。不是暴力传说，不是破解黑客电影道具，是字典载几千万行纯文本，每行一个密码。GitHub上搜“rockyou.txt”，23G解压后14G，用记事本打开会卡死，得用专门工具读。里面全是真实泄露的密码，从“123456”到“iloveyou”，从“password”到“qwerty123”，排列组合毫无章法。我见过最长的密码是87个字符，一串乱码加表情符号，估计是某个倒霉蛋用密码生成器生成的，然后忘了自己存哪了。

有人靠卖这个吃饭。淘宝搜“密码字典”，标价9块9，销量几千，评论区全是“老板人好，送了好几个大字典”“亲测有效，破解邻居WiFi成功”。这玩意儿不违法，因为字典本身是公开数据，就像卖一本电话簿，至于买的人拿去干嘛，卖家管不着。但我知道有个卖家被请去喝茶了，因为他附赠了一份“中国移动用户常用密码TOP10000”，里面精准到某省某市某运营商的默认密码规律——这算个人信息，踩线了。

真正玩得转的人不下载成品。他们自己生成，用crunch工具，设定规则：“8-12位，含大小写字母和数字，首字母大写，末尾加!或123”，跑一晚上，能生成几十亿条组合。这比下载的字典强，因为公开字典里的密码早就被各大网站拉黑了，你拿rockyou去撞库，撞一万个账号能中三个算运气好。但自己生成的字典，配合弱口令规律，命中率能到百分之五——前提是你知道目标人群的偏好，比如程序员喜欢用“root”加年份，会计喜欢用“123456aA”，公务员喜欢用拼音缩写加生日。

有个朋友干渗透测试，他说最搞笑的案例是某公司防火墙密码是“admin@2020”，字典里根本没有，因为太简单了，简单到没人把它当密码写进字典。他试了三天没进去，最后是翻人家IT部门垃圾桶找到的便签纸。另一个案例，某银行内部系统密码是“P@ssw0rd!2023”，rockyou里倒是有类似变体，但他没跑出来，因为人家改了两次，第二次改成“P@ssw0rd!2023!”——多了一个感叹号，字典就废了。

所以别迷信下载。字典是死的，人是活的。真正的暴力破解不靠字典，靠社工——知道目标用哪个网站注册过，去那个网站拖库，拿到哈希，再拿哈希去跑彩虹表。这活儿需要显卡，一张RTX 4090每秒能跑几十亿次MD5，但碰上bcrypt加密，直接歇菜，每秒只能试几万次，跑一万年也解不开。

回到下载这茬。你要是真想研究，去GitHub搜“seclists”，里面有个“Passwords”目录，按年份、按场景分类，全是免费的。别去那些弹窗网站下，你的电脑经不起折腾。顺便说一句，所有要求你注册会员、关注公众号、转发朋友圈才给密码的，都是骗子——真搞安全的没空玩这套，他们直接把字典挂网盘上，爱下不下。

最后提个醒：下载字典不犯法，但用字典去破解别人账号，犯法。我见过一个哥们儿，下了个500M的字典，兴冲冲去试前女友的微博密码，试了半小时，真让他试出来了——密码是两人第一次约会那天的日期加名字缩写。他当时没干坏事，就是登录上去改了签名：“密码该换了。”第二天他前女友报警了，警察顺藤摸瓜找到他，行政拘留五天。这哥们儿出来后在群里说：“早知道就该看看她现在的密码，说不定还是那个，但加了后缀。”

(责任编辑：综合)