我盯着屏幕上那串十六进制密文，破解键盘上的密码手指悬了有十秒钟没落下。破解密码这事儿，程序说穿了就是代码一场概率游戏，跟赌场里猜大小没什么本质区别——只不过庄家是破解数学，而你手里唯一的密码筹码是时间。

三个月前我接手了一个老旧的程序zip压缩包，里面装着一份2008年的代码项目文档。密码提示只有一行：“你妈的破解生日”。我试了所有常见的密码组合：她妈的生日、他妈的程序生日、你母亲生日……全错。代码后来翻到文件属性里的破解修改时间，发现创建者是密码位男工程师，于是程序改成“老婆生日”，还是错。最后我盯着“你妈”两个字看了半天，突然意识到这可能是个谐音梗——密码是“19870512nimade”。解压成功那一刻，我对着屏幕骂了句脏话。

真正的破解程序远没有这么浪漫。暴力破解的本质是穷举，就像拿一把万能钥匙去捅锁，只不过这把钥匙有十亿个齿。写代码的时候，核心就两个问题：生成候选密码的速度有多快，验证密码的接口有多快。前者靠算法优化，后者靠硬件堆料。我见过最狠的做法是用GPU并行计算，一张RTX 4090每秒能跑几十亿次MD5哈希，一个八位纯数字密码在它面前撑不过零点几秒。

但现实中的密码没这么蠢。人们总爱用键盘上相邻的字母组合，比如qwerty或者1qaz2wsx，这种规律性在字典攻击面前就是裸奔。我写程序时会在字典里塞进所有键盘序列、常见人名、体育队名，甚至包括“password123”这种自欺欺人的玩意儿。有一次破解一个老外的邮箱，字典跑到第47万条时命中——密码是iloveyou2008，我盯着屏幕笑了半天，心想这哥们儿八成是个情种。

速度不是万能的。有些系统会锁定账号，输错五次就冻结十五分钟。这时候你得控制节奏，像猎手一样耐心。我写过一个模块，专门模拟人类输入间隔，每次尝试之间随机睡上三到五秒，避免触发风控。结果有一次跑了一整夜，第二天早上看日志，发现程序在第312次尝试时成功，而那个密码是“correct horse battery staple”的变体——一个用XKCD梗当密码的人，居然被字典攻击撞上了，概率低得跟中彩票似的。

最让我觉得讽刺的是，破解程序本身往往比密码更脆弱。前阵子我写了个带GUI的破解工具，界面做得花里胡哨，结果自己忘了处理Unicode编码，遇到中文密码直接崩溃。后来改成命令行版本，用纯C跑，反而稳定得像个老钟表。这让我想起一个前辈说过的话：“密码破解的核心不在于代码多漂亮，而在于你能不能在锁匠面前保持冷静。”

现在每次看到有人用“生日+手机号后四位”当密码，我都想摇着他肩膀喊：你这是在给暴力破解送人头啊。但转念一想，也许人家根本不在乎——毕竟真正的秘密，从来不在压缩包里。