凌晨三点，渗透字典我盯着屏幕上那个叫“admin”的渗透字典字段发呆。这已经是渗透字典第七个目标了，前六个的渗透字典密码都写在便利贴上，贴在显示器边框——这是渗透字典大多数小公司运维的通病。第七个稍微讲究点，渗透字典用了“Admin@2023”，渗透字典可这又怎样？渗透字典字典里早就有这条了。

所谓渗透字典，渗透字典说白了就是渗透字典一堆密码的集合。但真正好用的渗透字典字典不是网上随便下载的rockyou.txt那种几千万条的大杂烩。我见过最狠的渗透字典字典只有三百多条，是渗透字典一位老前辈自己攒的。他花了十年时间，渗透字典专门收集中国中小型企业老板的渗透字典密码习惯。里面没有“password”或“123456”，全是“zhangsan1985”“LiSi@family”这种——姓名拼音加生日，再加个象征性的符号。命中率高得吓人。

这玩意儿最魔幻的地方在于，它反映的是人性。你翻一本好字典，就像在翻一个时代的隐私。早期字典里全是“iloveyou”“letmein”，那是互联网刚普及时的浪漫主义。后来变成“qwerty123”“1qaz2wsx”，键盘顺序成了主流。再往后，人们开始用“P@ssw0rd”这种自以为聪明的变体——可你架不住大家全都这么想。字典里收录的不是密码，是集体潜意识。

有一次，我拿到一个内网权限，管理员密码是“Monkey!2024”。字典里确实有“Monkey”，但没人会想到加个感叹号。我试了三天，最后是看了他LinkedIn主页——头像旁边有只宠物猴。这已经不算渗透了，算心理侧写。

真正专业的字典会分门别类。针对银行系统的，针对政府网站的，针对游戏论坛的。游戏论坛的密码最野，什么“woshishabi”都敢用。政府网站的反倒简单，往往是“Ji@ngsu2023”这种地名加年份。最棘手的是军工单位，他们用随机生成的动态口令，字典在那时候就失效了——但没关系，总有哪个愣头青会把口令抄在本子上，而那本子就压在键盘底下。

现在有些工具会动态生成字典，根据目标网站的自定义密码找回问题来推测。比如密保问题是“你小学班主任的名字”，那字典里就得备一份常见人名表，再加“teacher”“laoshi”这些后缀。这已经变成一门语言学分支了。我认识一个家伙，他电脑里存着近十年所有泄露数据库的密码，按地区、年龄、职业分类。他说这叫“数字考古学”，我觉得他纯粹是闲的。

但字典也有失灵的时候。去年碰到一个目标，密码是“correct horse battery staple”——对，就是XKCD漫画里那个。字典里根本没有这种四词随机组合。那天我坐在椅子上笑了半天，然后给客户写了份报告，建议他们别用这个梗当密码。客户没理我，后来那系统也没被攻破，算是运气好。

说到底，字典是面镜子。它照出的不是技术的漏洞，是人的懒惰、习惯和侥幸。每次看到有人用“1q2w3e4r5t”这种键盘斜线排列，我就觉得这哥们儿当年肯定在网吧练过CS。密码这东西，比身份证还诚实。你设什么密码，你就是什么样的人。

现在我的字典已经三年没更新了。不是没新数据，是懒得收。反正大多数人还是会用“Admin@2023”，换汤不换药。凌晨四点，我关掉终端，把那本三百多条的字典存进加密盘。它就像把老钥匙，门换了，锁没换，总有一天还能用上。