你的密码在黑客眼里有多好猜？揭秘“弱口令爆破”那点事

深夜，Pwnstars安全服务器里突然弹出一条警告⚠️：“检测到异常登录尝试，IP来源：国外，账户：admin，状态：失败”

紧接着第二条、第三条……每分钟上百条失败记录涌入。安全工程师Hugo盯着屏幕，心里清楚🧐：有人在爆破。

他端起咖啡，慢悠悠地打开防护策略——这种场面见多了，无非是某个黑客用脚本在撞库。但这次，他多看了一眼用户名：admin，密码尝试记录：123456、admin123、password……

三分钟后，警报停了。不是黑客放弃了，而是——他猜对了。

登录日志显示：凌晨3点14分，有人用“admin/123456”进入了公司后台。

第二天，公司数据库被拖库的消息传遍全网。

而这一切的起点，仅仅是一个弱口令，和一台不知疲倦的爆破脚本。

一、什么是弱口令？就是一把“明锁” 🔒

弱口令（Weak Password）是什么意思，说白了就是太好猜的密码。

就像你家的门锁，如果用一把普通锁——谁路过都能看到锁芯，拿根铁丝就能捅开，那和没锁有什么区别？

那么常见的弱口令长什么样呢？

#人类最爱用的密码Top 10（根据历年泄露数据统计）（👀有没有你自己使用的）

1. 1. 123456
2. 2. password
3. 3. 123456789
4. 4. 12345
5. 5. 12345678
6. 6. qwerty
7. 7. 1234567
8. 8. 111111
9. 9. 1234567890
10. 10. admin

还有那些“自认为很浪漫的🌹”的：woaini1314（我爱你一生一世）、5201314、a123456……
在黑客眼里，只觉得😂……

这些密码他们写在程序第一页📖。

条件型弱口令更可怕——因为它跟你本人有关。

比如：
· 姓名首字母 + 生日：lhh2007
· 手机号后六位：123456（真的有很多人直接设成123456!!!）
· 英文名 + 520：Hugo520

如果你用过上面任何一种密码，请赶快去改一下——不要🙅等出事才后悔😱。

二、什么是暴力破解呢？就是“一把一把试钥匙” 🔑

暴力破解（Brute Force），也叫爆破，原理简单得令人发指：就是拿着”字典”，一个一个试。

想象一个场景：
· 你丢了家门钥匙，站在门口，手上有1000把相似的钥匙
· 你只能一把一把插进去试，直到听到“咔哒”一声

暴力破解就是这个过程，只不过：
· 试钥匙的是脚本，不是人（所以永远不会累）😩
· 试的是密码，不是物理钥匙🔐
· 速度是每秒几百次，不是几分钟一次

三种常见的爆破方式

最讽刺的是：大部分爆破根本不需要穷举——因为大多数人用的密码，都在那Top 100弱口令列表里。

三、黑客怎么爆破？大部分都是这样🛠️

（以下内容仅供学习防御，请勿用于非法用途）

假设有一个网站后台，登录地址是：http://example.com/admin/login

第一步：抓包 🎣 

用浏览器打开登录页，输入任意账号密码（比如admin/123456），提交时用Burp Suite拦截请求。

拦截到的请求可能是这样的：

POST /admin/login HTTP/1.1
Host: example.com
Content-Type: application/x-www-form-urlencoded

username=admin&password=123456

第二步：设置爆破点 🎯

在Burp里，把password=123456这部分标记为“变量”——告诉工具：这个地方的值，我要用字典里的内容替换。

第三步：加载字典 📚

加载一个弱口令字典，比如：

123456
password
admin123
12345678
qwerty
...

（这些文件在Kali Linux的/usr/share/wordlists目录下一抓一大把）

第四步：直接运行🚀

点击“Start Attack”，看着进度条一点点走。几秒钟后，结果按返回长度排序——往往正确密码的返回页面长度，和其他错误的不一样。

如果网站有验证码呢？ 🤔

别急，还有办法：
· 验证码复用：有些网站的验证码输对一次后，可以重复使用 —— 那不就等于没有吗！
· 验证码识别：简单的数字验证码，OCR脚本一秒识别
· IP池轮换：限制IP？那我就换1000个代理IP继续试

如果密码加密了呢？ 🔐

有些网站会把密码在前端MD5加密后再传输。但没关系——黑客可以把字典里的每个密码都先加密，再去爆破。甚至可以用Burp插件（如jsEncrypter），直接调用前端的加密JS代码，实时加密。

四、怎么防？别给黑客当“活靶子” 🛡️

作为普通用户，你能做的很简单：

✅ 立刻检查你的密码
· 是123456吗？→ 改
· 是password吗？→ 改
· 是你的生日或手机号吗？→ 改
· 是所有网站都用同一个密码吗？→ 分开！

✅ 用“强口令”公式
长度至少12位，包含：
· 大写字母（A-Z）
· 小写字母（a-z）
· 数字（0-9）
· 特殊符号（!@#$%）

比如：G7@k9#pL2$qR（这比“admin123”难猜几亿倍）

✅ 开启所有能开的防护
· 双因素认证（2FA/MFA）：短信验证码、Google Authenticator、指纹
· 登录限制：输错5次就锁定账号
· 不同密码策略：重要账号（邮箱、网银）必须单独设强密码

如果作为网站管理员，要做的更多：

写在最后 📝

那么回到开头那个故事。

Hugo后来复盘时发现：admin/123456这个账号，原来是三个月前测试人员临时建的，用完忘了删。而爆破脚本只跑了2分17秒，就命中了这个密码。

弱口令，是网络安全里最古老、最无聊、但也最致命的问题。它不酷，不高深，不炫技。

但它一直都在。

而对付它的办法，也从来不复杂：

用强密码。开双重验证。定期换。别偷懒。

Pwnstars碰星安全 · 让安全简单一点

今日互动：你用过的最弱密码是什么？

评论区说出来，让大家都去改掉它🐶