暴力破解是不是一定穷举全部组合？
反复尝试候选值以找到匹配项，是这类攻击的核心。候选可能按常见密码字典排列，也可能系统枚举；真实猜测不会必然遵循本例顺序。撞库使用已泄露的账号密码组合，密码喷洒则把少量候选分散到多个账号。[1][2]
009 / 身份与访问 / Brute Force
猜测经过登录口，还是在副本旁进行？
暴力破解 · Brute Force
同一组候选密码，可以送进网站登录口，也可以拿到本地与泄露的验证记录比对。只有前者经过网站的限流。切换两条路径，看看密码被找到与账号登录成功为何仍是两件事。
开始探索 ↓8–11 分钟
动手实验 · 场景判断 · 实用检查
动手实验 · 场景判断 · 实用检查
一群角色带着许多钥匙，轮番尝试同一扇门的锁。许多人只是多次尝试的比喻，不要求真实多人或僵尸网络；画面没有证明已经猜中，也没有区分在线与离线猜测。
本课任务 / 暴力破解
逐轮观察候选处理，找出在线限制、密码哈希成本与第二因素分别作用在哪个阶段。
- 区分在线猜测与离线验证材料比对
- 识别限流、哈希成本及第二因素的边界
- 区分找到密码与建立已认证会话
亲手探索 / 不同条件，不同结果
让同一批候选走两条不同的验证路径。
选择在线或离线路径，用固定候选逐轮推进。调整在线尝试预算、离线哈希成本和在线第二因素要求，分别查看请求、比对、密码匹配与会话结果。数字只是教学工作单位，不代表秒数。
攻击机制工作台 · 封闭离线模型
同一批猜测，在哪道门前变慢？
五个符号候选，第五个固定命中。比较在线请求和离线验证材料的计算；更改条件会开始新一轮，不输入真实密码。
- 候选进度
- 0 / 5
- 发出登录请求
- 0
- 离线验证计算
- 0
- 密码 / 会话
- 未猜中 / 未建立
尚未检查当前条件。修改选择会清除旧结论；保留的状态可在工作台查看。
限流每轮 2 个、其余对照每轮 6 个，高成本离线每轮 2 个，均是虚构预算。真实在线验证也有计算成本，本例为了对比而固定忽略；不会估算破解秒数。
随手查 / 把理解带回实际工作
理解机制之后，检查这些细节。
实验是简化模型。真实环境需要明确业务规则、验证失败路径，并持续维护配置与证据。
01 / 实用细节
先问每次尝试由谁受理
在线认证器能对失败尝试限速、告警并实施适合的账号策略；离线记录的持有者不必遵守这些接口限制。本练习将请求次数与哈希比对次数分开，让两条路径的观察点保持清楚。[3][2]
02 / 实用细节
限流需要评估覆盖范围与副作用
只给前端按钮增加等待不能约束服务器，同一账号也可能收到不同来源的尝试。失败计数、限制范围和恢复方式需要结合服务风险设计；过于激进的锁定还可能让攻击者阻止合法用户登录。[2]
03 / 实用细节
昂贵哈希增加离线尝试成本
使用适合密码存储的加盐、带成本参数的验证方案，让每个候选需要更多计算资源。独立盐阻止直接复用相同的预计算结果，却不会让单个弱密码不可猜。生产成本应实测并兼顾合法验证负担。[3]
04 / 实用细节
不要把教学轮数换算成破解时间
本例候选位置、每轮预算和高低成本均是确定的演示条件。现实结果还依赖密码分布、算法参数、硬件与攻击策略；一串长度或一个颜色标签都不能推导出可信的“还需多少年”。[3][1]
05 / 实用细节
第二因素保护的是后续认证
在线匹配到密码且第二因素仍未满足时，结果应停留在未建立会话。离线找到密码同样不说明账号已被登录；真实事件还需评估密码复用、其他认证入口和受影响凭据，不能把 MFA 当作泄露后的全部处置。[3][2]
06 / 实用细节
让完成、重置与切换结果可区分
比较防线效果时，保持候选集合和顺序一致，再观察完成多少比对。练习切换路径或配置会开启新一轮实验；找到匹配项或候选耗尽后，不再凭重复点击制造额外“成功”。这些演示计数不能作为真实服务的安全评分。[1][3]
从模拟，到验证
找一个获准的环境，实际检查一次。
勾选用于本页自查，不会自动标记整课已学会。练习与清单刷新后重置。
本页已检查 0 / 5 项
一次授权演练中，测试程序对同一个员工账户连续提交数千个候选密码，没有使用已泄露的账号密码对。最贴切的行为描述是？
能解释原因，再标记学会。
小测结果同步错题本；“已学会”沿用原有本地学习记录。
资料与依据
- OWASP · Brute Force Attack ↗
重复候选尝试、字典与枚举；本页限于密码猜测教学
- OWASP · Authentication Cheat Sheet ↗
自动化攻击类型、在线限速、多层防护与锁定副作用
- NIST SP 800-63B-4 · Authentication ↗
在线限制、离线密码威胁、加盐成本存储与多因素认证
本页场景、人物与数据均为教学示例。互动选择不会上传；收藏、已学会与错题沿用当前浏览器本地存储。来源正文核对日期：2026-10-08。