我见过最讽刺的网站一幕，是登录某安全公司演示会上，工程师用一款自研工具，密码三分钟内打开了同事的破解银行账户。台下掌声雷动，网站没人意识到这工具本质上就是登录个密码破解器，只不过穿了件“渗透测试”的密码马甲。

破解密码这事儿，破解远没电影里那么玄乎。网站黑客不会对着屏幕疯狂敲键盘，登录等进度条走完。密码现实是破解，他们更愿意花三十秒查你社交账号上的网站生日，再花三十秒试试你宠物名字加123。登录我认识一个搞运维的密码老哥，他破解公司高管密码的成功率高达八成，方法简单到可笑——把高管们公开的简历、演讲视频、甚至朋友圈晒娃照片里的信息组合一遍。

真正的技术流玩的是“暴力破解”的变种。不是从0000试到9999，而是用“字典攻击”。黑客手里有一本巨大的密码字典，里面装着几亿条真实泄露过的密码组合。你以为是“Xk8#pQ2m”这种随机密码很安全？可如果它曾经出现在某个论坛的泄露数据库里，那它就在字典里躺着，等你的账号被撞库时派上用场。

前阵子有个朋友跟我抱怨，说自己的游戏账号被洗劫一空。我看了他发给我的截图，密码是“wang19871215”。他说这密码用了十五年，从QQ邮箱到银行全是一个。我没告诉他，这种以姓名首字母加生日的格式，是字典里最基础的分类条目。破解器根本不用“破”，它只是把钥匙从门垫底下翻出来了而已。

有人会问，那那些号称能“秒破”复杂密码的工具呢？它们靠的是GPU算力。一块好显卡每秒能算几十亿次哈希，纯数字密码几秒就完蛋，小写字母加数字的组合也就撑几小时。但要是你用了大小写字母加符号加数字的十二位以上密码，破解时间会从几小时暴涨到几千年。所以你看，不是工具厉害，是人太懒。

我还见过更野的路子。有人专门写程序监听公共WiFi下的登录请求，抓包后离线慢慢算。你坐在咖啡馆里输入密码的瞬间，数据包已经被截走了，破解器不慌不忙地在后台跑字典。等你拿铁喝完，密码也差不多出来了。这种攻击根本不管你密码设得多复杂，因为人家偷的是你输入的过程。

写这些不是教你去干坏事。事实上，所有正规的安全测试工具，都内置了法律免责声明。但工具本身没有善恶，就像菜刀能切菜也能伤人。我见过最精妙的破解，不是技术上的，而是社工——破解器只是个幌子，真正被攻破的，是人的信任防线。有个测试员伪装成IT支持，给目标公司员工发邮件“请重置密码以保障安全”，一上午就收集了四十多个真实密码。那封邮件里的链接，根本就是个假的登录页面。

所以下次你设置密码时，别总想着“应该没人知道我生日吧”。生日是公开的，宠物名字是公开的，连你小学班主任的名字都能从老照片里翻出来。真正的安全，不是设置一个让破解器算到宇宙热寂的密码，而是每个平台用不同的密码，让任何一次泄露都变成孤案。

至于那些号称能破解任何密码的软件下载链接，我劝你别碰。十有八九，它们自己就是个木马——你用它去破别人的密码，它反手把你的密码发给远方的服务器。这行当里最经典的套路，就是卖铲子给挖金矿的人，然后等矿工累死了，去捡他口袋里的金子。