7秒能干什么？压密泡面还没软，电梯还没到，码秒但有人已经用7秒把一个加密ZIP压缩包给破了。压密这不是码秒电影桥段，是压密上周我亲眼看到的事。同事老周从某资源站下了一部4K修复版老电影，码秒压缩包加了密，压密密码提示写着“本站域名”。码秒他试了三次，压密放弃，码秒转头打开一个叫“Ziperello”的压密小工具，拖入文件，码秒勾选“数字+小写字母+常见符号”，压密点开始。码秒我数了一下，压密从点击到弹出密码框，6秒多。密码是“dy1234”。

这事让我重新翻出硬盘里那些年攒下的加密压缩包。有前公司离职时打包的设计稿，密码是当时项目代号；有从论坛花积分买的素材库，密码是版主ID；还有几个是朋友发来的“私密文件”，密码是生日。这些密码的共同点：人类能记住，机器能猜中。ZIP的加密方式分两种，ZipCrypto和AES-256。前者是纸糊的，后者才是铁门。但很多人——包括不少网站打包资源时——用的还是ZipCrypto。这种加密有个致命缺陷：它把密码校验和明文数据混在一起，攻击者不需要完整解密就能验证密码对不对。说白了，你试错的速度取决于CPU有多快，而不是加密有多强。

我拿自己电脑试了一下。i5-12400，用hashcat跑ZipCrypto的字典攻击，每秒能试大概900万次。一个8位纯数字密码，理论上10秒内出结果。如果密码是“admin123”这种常见组合，字典里排前一万位，0.1秒都用不了。老周那个“dy1234”之所以花了7秒，是因为工具先跑了掩码攻击，从4位数字开始穷举，到6位字母数字混合才命中。要是直接上字典，更快。

AES-256的ZIP就完全是另一回事。同样硬件，每秒只能试几百次。8位纯数字也得跑好几天。但问题在于，很多打包工具默认选ZipCrypto，因为兼容性好，WinRAR、7-Zip、Windows自带解压都能开。选AES-256反而可能遇到老系统打不开的尴尬。这就给了“7秒破”生存空间——不是技术多神，是加密选项太老。

真正让我在意的不是工具效率，是密码习惯。我统计过手头37个加密压缩包，其中21个密码是纯数字，12个是“网站名+123”，剩下4个稍微复杂点，但也没逃出“姓名拼音+年份”的套路。有个做安全的朋友说，他帮客户做渗透测试，拿到加密ZIP后先跑一遍“rockyou.txt”字典，命中率超过六成。那本字典是2009年泄露的，里面全是当年流行密码。十几年过去，人还是那批人。

所以“7秒破”这事，拆开看就三句话：ZipCrypto加密太脆，弱密码太多，穷举工具太快。三者凑一起，7秒不稀奇。真要防，要么换AES-256，要么把密码设成“正确 horse battery staple”那种长短语——但后者在手机解压时能把你逼疯。安全性和便利性永远在打架，普通人能做的，至少别用“123456”给压缩包上锁。那跟没锁区别不大，只是多花7秒。

(责任编辑：娱乐)