破解网站密码软件

2023年夏天，破解我帮一个开网店的网站朋友查后台异常登录记录。他坚称自己密码设得够复杂，密码大小写加数字加符号，软件十四位。破解结果日志显示，网站有人从异地IP尝试了不到两百次就进去了。密码用的软件不是什么高深漏洞，而是破解一款叫“Hydra”的开源工具，配合一个从旧论坛泄露库里捞出来的网站密码字典。这事让我意识到，密码大多数人脑子里那套“密码够长就安全”的软件逻辑，在自动化攻击面前基本等于纸糊的破解墙。

所谓“破解网站密码软件”，网站本质上分两类。密码一类是离线跑哈希的，比如Hashcat。它拿到的是网站数据库泄露后的密码散列值，然后拿GPU集群去撞。一张RTX 4090每秒能算几十亿次MD5，八位纯数字密码几秒钟就出结果。另一类是在线撞库工具，像Burp Suite的Intruder模块或者Sentry MBA，直接对着登录接口发请求，模拟真人填表。区别在于，在线工具受限于网络延迟和服务器限流，但好处是不需要先拿到数据库。

我见过最离谱的案例，是一个地方论坛的管理员账号。密码是“admin123”，但登录页面加了图形验证码。攻击者用了一个叫“Captcha Killer”的Chrome插件，调用第三方打码平台的API，每识别一次花0.5美分。配合代理池轮换IP，每小时能试两千组密码。三天后，管理员账号被攻破。整个成本不到二十美元。这跟技术高低没关系，纯粹是攻击成本已经低到离谱。

很多人以为加个短信验证码就万事大吉。去年有个做跨境电商的客户，后台开了双因素认证。结果攻击者先通过钓鱼邮件拿到了他的会话Cookie，再用“Evilginx2”反向代理工具实时劫持登录令牌。验证码是发到他手机上了，但攻击者那边同步完成了验证。整个过程用户毫无感知。这类工具已经不算“密码破解”了，而是绕过认证层。但普通用户根本分不清区别，只觉得“我开了二次验证怎么还被盗”。

说回防御。我自己的做法是：任何重要账户，密码必须是密码管理器生成的随机字符串，十六位以上，每个站不重复。然后所有支持TOTP的站点，一律用硬件密钥比如YubiKey，而不是短信或邮件验证。短信验证码在SIM卡交换攻击面前跟没有一样。去年美国FBI就通报过，攻击者买通运营商内部人员，直接复制受害者SIM卡，所有短信验证码全落到攻击者手里。

还有一点，别用那些“密码强度检测”网站。你输入密码，它告诉你“很强”，同时把你的密码存进了它的日志。我见过一个叫“Password Monster”的站，后来被爆出数据库没加密，几百万条用户测试的密码明文躺在服务器上。讽刺的是，这些密码里很多是用户真实在用的。

最后说个观察。我跟踪过几个暗网论坛的密码交易板块。一个普通Gmail账号的登录凭证，带一年内的活跃记录，售价大约三到五美元。如果是企业邮箱，带公司域名后缀，价格翻十倍。如果是带管理员权限的，比如WordPress后台或者cPanel，能卖到五十到两百美元。这些凭证大部分来自旧的数据泄露，配合撞库工具批量验证。所以，如果你在多个网站用同一个密码，等于把自家钥匙复制了一把放在每个邻居手里。哪天任何一个邻居家被偷，你家也就跟着遭殃。

工具本身没有善恶。Hydra和Hashcat在渗透测试工程师手里是审计工具，在脚本小子手里就是破门锤。区别只在于，你家的锁够不够让那个拿锤子的人觉得“换一家更划算”。