前两天和朋友吃饭,他一脸后怕地跟我讲了一件事：他们工作室做了一次内部安全自查，在拿到授权的前提下，用“黑客字典生成器”对员工账号做了一轮弱口令检测，结果十来个人的后台账号，居然有一半能被猜到，有人用姓名拼音加123，有人用生日加手机号后四位，还有人图省事，直接把公司名缩写当密码，朋友说，检测报告出来那一刻，大家才意识到，平时觉得“只有自己知道”的密码，其实在攻击者眼里可能跟没锁门差不多。
这件事让我特别想聊聊“黑客字典生成器”这个东西，很多人一听名字就觉得神秘，甚至有点危险，好像拿到它就能随便进别人账号，其实真不是，黑客字典生成器更像一个“候选密码清单制造机”：它把常见弱密码、默认口令、姓名、生日、手机号、地名、键盘连续字符、以往泄露密码库里的高频词等素材，按照一定规则组合起来，形成一批可能被用于密码检测的候选列表，它在合法授权下，是安全测试和密码审计的工具；在未经授权的场景里，就可能变成违法行为的帮凶，工具本身不神秘，关键看谁用、用来干什么。
先讲几个特别生活化的例子,第一个是我邻居家的路由器，他总说家里网速慢，后来找人一看，路由器管理密码还是默认的admin/admin，Wi-Fi密码是手机号后八位，你说这种密码需要多高深的技术吗？不需要，一个稍微懂点门道的人，甚至不用什么复杂工具，靠常识就能猜个八九不离十，第二个是我表弟，他玩游戏账号被盗后一直想不通，后来我们一复盘，他社交平台上晒过生日、发过宠物名字，游戏密码就是“生日+宠物名”，这类信息一旦被拼在一起，黑客字典生成器就能派上用场，不是他运气差，而是他的密码素材太容易被收集了，第三个是我之前采访过的一家小公司，老板觉得“我们又不是大企业，谁闲着没事攻击我们”，结果他们的客户后台账号大量使用“公司缩写+年份”，员工离职后密码也没改，后来做授权安全审计时，弱口令问题一目了然，很多风险不是来自多高明的黑客，而是来自我们太爱用“好记”的密码。
那黑客字典生成器到底在“生成”什么？说白了，它是在模拟人脑偷懒的方式，人设置密码时总喜欢找捷径：用名字、用生日、用纪念日、用键盘上顺手的一串字母、用“123456”这种经典组合，字典生成器就是把这些常见模式整理出来，再根据目标信息做排列组合，它并不保证一定能猜中，但它能大大提高“撞上弱密码”的概率，也正因为如此，安全人员在授权测试时会用它来检查系统是否存在弱口令、默认口令、密码策略形同虚设等问题，企业如果发现某个账号能被字典里的候选密码命中，那就不是“运气不好”，而是密码策略和员工安全意识需要补课了。
我个人有一个很明确的观点：别再把“好记”当成密码的第一原则了，好记和安全并不完全对立，但如果你为了好记牺牲到“身边人都能猜到”的程度，那就不是方便，是给自己埋雷，普通人最该做的，不是研究黑客字典生成器有多厉害，而是让自己的密码尽量不出现在它的候选清单里，怎么做？第一，密码要够长，长度比花哨更重要；第二，重要账号的密码要独一无二，别一套密码走天下；第三，能开双因素认证就开，短信验证、验证器、硬件密钥都行，多一道锁就多一层保障；第四，别在社交平台过度暴露生日、手机号、家庭关系、常用昵称；第五，考虑用密码管理器，人脑记不住几十个复杂密码很正常，工具就是干这个的，企业这边更别侥幸，默认口令必须改，离职账号要及时回收，弱口令检测要常态化，安全培训别只发一张海报就完事。
我还想说,黑客字典生成器这东西最像什么？我觉得它像一面照妖镜，它照出的不是黑客多神，而是我们有多爱偷懒，一个系统如果充斥着“姓名+生日”“公司名+123”“admin/admin”，那不管有没有字典生成器，风险都在那里，反过来，如果密码足够长、足够随机、重要账号都有双因素认证，企业也有规范的账号管理，那字典生成器再能生成，也很难轻易得手，安全这件事，说到底不是和工具较劲，而是和习惯较劲。
最后提醒一句：黑客字典生成器只能在合法授权、安全自查、教学研究等场景下使用，未经授权去尝试登录别人账号、破解系统，那不是“技术交流”，而是可能触犯法律，咱们普通人没必要把它妖魔化，也没必要把它神化，把它当成一次提醒就好：今晚有空，去改掉那几个用了好几年的旧密码，把重复密码拆开，把双因素认证打开，别等账号真出了问题，才想起自己当初图省事的那一下。