凌晨两点十七分，暴力日志文件里突然多了一条SSH登录失败的破解记录。用户名是服务root，密码是器密"admin123"——这已经是第47次尝试了。黑客显然没读过《密码安全指南》，暴力但没关系，破解他只需要时间。服务

暴力破解就是器密这么无聊又直接的游戏。攻击者拿着字典文件，暴力里面装着几百万个常见密码，破解像自动售货机吐罐装可乐一样，服务一个接一个地往服务器的器密登录接口上砸。我见过最离谱的暴力一次，对方用了四台肉鸡同时开火，破解每秒能试两千次。服务两千次啊，就算密码是"P@ssw0rd!2024"这种看起来挺唬人的组合，也撑不过三天。

可现实往往更讽刺。很多服务器根本撑不到三天——不是密码被破解了，而是系统先被自己的安全策略玩死了。比如某家银行的运维兄弟，图省事把密码设成"Bank@2023"，又开了密码错误五次锁定账号的功能。结果黑客用前四个错误密码就把账号锁死了，运维自己进不去系统，大半夜打电话叫机房的人重启。这哪是防御啊，简直是给攻击者递刀。

真正让我后背发凉的，是去年帮朋友排查的一次入侵。对方没用什么高端手法，就是对着一个老旧的FTP端口暴力破解了整整两周。朋友说那台服务器上只有些测试文件，丢了也不心疼。可我翻日志时发现，攻击者拿到权限后第一件事就是装了挖矿程序——他根本不在乎你的数据，他要的是你的CPU和电费。这种"低价值目标被薅羊毛"的案例，每天都在互联网的暗角里批量发生。

防御手段其实老套但管用。禁用root直接登录，改用密钥认证；密码里混进生僻符号，别用"qwerty"这种键盘邻居；再装个fail2ban，谁连续猜五次就把他IP拉黑半小时。可问题在于，这些操作需要人去做，而人天生懒惰。我见过某创业公司CTO把密码写在便签纸上贴在显示器边框，理由是"团队就五个人，没人会害我"。直到离职员工用那个密码登录了云端数据库，他才明白信任在暴力破解面前一文不值。

说到底，暴力破解拼的不是技术含量，而是概率和耐心。攻击者赌的是总有人用弱密码，赌的是管理员懒得改默认配置，赌的是安全策略存在漏洞。而防守方要做的，不过是把"被猜中的概率"降到足够低，低到让攻击者觉得不划算——然后去欺负隔壁那台没打补丁的服务器。

对了，刚才那台被尝试47次的服务器，其实密码是"Kx9#mP2!vL"。攻击者现在还在猜，但照这速度，他得再花三个月。我泡了杯咖啡，顺手把fail2ban的封禁时间调到了24小时。窗外天快亮了，日志里的失败记录还在滚动，像一场永不停歇的潮汐。而我能做的，就是让堤坝再高那么一厘米。