黑哥帮我盗下前女友的微信号吧？

国庆这两天，后台收到好友请求：黑哥，你能帮我盗走我前女友的微信吗？ 我怀疑自己被骗了，想看看她。 我可以付钱。

读完之后，我忍不住笑了。 类似的问题十多年前就有人问过，但当时号码就被盗了。

首先，说实话，我没有这个能力，我就是喜欢乱搞软件。 我是黑哥，不是黑客。

另外，账号被盗？ 年轻人，你的想法很危险。 这种做法本身就是非法的。 两个人最好好好沟通。

但我想这位小伙伴也是看了很多账号被盗、密码泄露的新闻后才产生这个想法的。

但其实他可能对密码破解有一些误解，所以今天我们就来聊聊密码安全的话题。

不知道大家是否还记得2011年12月CSDN的“密码泄露”事件，当时600万用户的登录名、密码和邮箱地址被泄露。 除CSDN外，天涯、世纪佳缘、人人网、珍爱网等网站的用户个人信息也被泄露。

有些人甚至将这些个人信息数据制作成压缩包，可以在互联网上的任何地方下载。 嗯，这也算是名副其实的“裸奔”吧。

那几天正好是冬至，很多人一边吃饺子，一边改密码。

网友下载了泄露的数据库文件，其中包含大量帐户和密码信息。

今年4月，从来不独来独往的东哥又遇到了麻烦。 传闻京东泄露了5000万用户的用户数据。

庆幸的是，京东官方微博@京东发言人回应并证实，这些数据并非真实的京东账户数据，请勿造谣。

从上面两个例子你大概可以看出，这些疑似泄露的账户数据并不是针对破解某个用户的账户，而是账户数据库被某人黑客入侵，也就是大家通常所说的“脱掉你的裤子”错了，应该是“脱掉裤子”。

这只是密码泄露的情况。 黑客实际上是针对网站平台的，而您只是不幸被欺骗的人之一。 除此之外，还有其他几种密码被盗的情况。

那么，我们先来看看——

您的密码是如何被盗的？

当我们注册帐户时，我们设置的密码通常只有您和网站知道。 这非常简单，因为您只需告诉网站密码即可。

因此，一旦密码泄露，问题要么出在用户，要么出在网站。 再次注意，这是正常的，至于为什么，我稍后会提到。

1.网站的错误

上面提到的CSDN“密码泄露门”就是网站平台的原因。 这件事之所以在当时引起轰动，主要是因为CSDN网站的特殊性。

了解这个网站的朋友都知道，如果一个普通的行业网站不幸被抓到，也不足为奇。 但作为一个专业的IT知识论坛，其运营者和用户都是程序员和开发者，所以应该有更严格的安全措施。 然而不幸的是，它还是被抓住了。 这有点傻了。

但这还不是最离谱的事情。 如果被“拖”只是为了出丑的话，那么接下来发生的事情就更加不可思议了。

前面说过，我们设置的密码只有我们自己和网站知道。 账户密码保存在网站密码数据库中，但存储形式不应该是这样的：

用户名：abcde

密码：

该方法以明文形式存储，即没有任何加密。 密码库一旦泄露，可以直接使用。

因此，为了防止黑客窃取密码数据库，比较可靠的网站会对密码数据库进行加密。 例如，有些网站使用MD5加密。

科普一下，MD5是一种广泛使用的密码哈希函数，可以从原始密码生成哈希值。 主要用来保证信息传输的完整和一致，比如你在很多资源下载网站上看到的MD5校验和。 提供代码供您检查下载的文件与上传者提供的文件是否一致。

如果我们使用MD5对密码进行加密，原来的明文密码就会变成——

在这种情况下，即使密码数据库被盗，密码也不会被剥离并以明文形式暴露给黑客。

当然，MD5加密并不是牢不可破的。 其实在一些MD5解密查询网站上就可以破解，比如这个：。

可见，从加密后的MD5密文中可以找到原始密码。

因此，对于密码数据库加密方法来说，MD5已经不够了。 比如使用解密难度较高的SHA-2算法，或者使用MD5+Salt（俗称加盐）对密码进行双重加密。 这样，即使黑客下载了数据库，破解密码也不是那么容易的。

然而在CSDN的“密码泄露门”中，连最基本的MD5都没有使用，直接以明文形式存储密码。 这样，黑客在破解密码数据库后无需破译密码数据库，用户的账户密码直接可见。

作为一个专业的IT论坛，你犯这样的低级错误有点不可思议。

如上所述，责任由网站承担。 如果发生这种情况，用户别无选择，只能赶紧更改密码。

不过，现在比较靠谱的网站都会注重密码数据库的加密管理。 毕竟这是命脉，所以大型网站发生“拖库”的概率很低，所以不用太担心。

2、用户的过错

如果网站的问题被消除了，剩下的责任就得由用户自己承担了。

这里有几种类型的锅：

首先，因为按捺不住好奇心，我点击了一些“只有老婆不在家才敢玩的游戏”之类的链接，不小心中了木马，导致本地键盘操作被监听并在输入密码时记录。 结果，比赛无法进行。 好吧，账号没了。

不过，现在这种情况已经很少见了。 大家上网时要善于克制自己的好奇心，不要点击让人脸红的网页，并注意安装安全软件。 一般来说，问题不大。

其次，如果你访问一些模仿官网的钓鱼网站，或者连接公共WIFI时被抓包等，就会被李鬼中途拦截。 您将无法清楚地分辨出来，并且会自动向您发送密码。

这种情况现在很常见。 别以为这很容易识别。 如果您不相信我，请尝试这个网站。

据说这是肉眼最难辨别的钓鱼网站。 不将它们放在一起比较就能识别出其中有多少？

因此，不要以为即使你是经验丰富的司机，一不小心你的车还是会翻车。 遇到这种“真假李逵”，一定要注意网站链接的真实性，以免中招。

你看，以上两种盗号方式，说白了就是骗你交出密码。 这是成本最低的方法。

因为除了这些之外，剩下的唯一方法就是依靠“暴力破解”，即通过穷尽一定长度的字符组合来破解密码，这完全取决于运气。

当然，为了增加成功率，黑客还会将用户常用的密码编译成“密码字典”。 使用这个密码字典会大大增加暴力破解的几率。

那么问题来了，用户常用的密码有哪些呢？

说白了，不是因为你把密码设得太高了！ 简单的！ 一！ 知道了！

国外有一个网站叫. 每年，都会根据泄露的密码数据分析出最差密码的排名。

《》和《》稳居榜单前两名。 其他的密码也很简单，用耳朵就能想到。

另外，您可以打赌，如果每个人的生日都在同一天，那么生日密码一定位于列表的顶部。

看看这个名单，有多少人被枪杀了？

更糟糕的是，大多数人都有一个习惯，为了方便记忆，几乎所有账户都使用相同的密码。 换句话说，你手里的密码就成了开门的万能钥匙，虽然方便，但是一旦丢失了这把万能钥匙，你所有的门都会向小偷敞开。

是的，如果一个网站平台的密码数据库被泄露，就意味着所有平台的密码都被泄露了。

虽然黑客此时只有一把万能钥匙，不知道可以打开哪些门，但他可以一一尝试，并利用技术手段尝试批量登录其他网站平台。 这就是“撞库”。 那些常见的社交网站通常都是重灾区，总能打开几扇门吧？ 这样，您的个人隐私甚至支付密码都会面临泄露的风险。

那么，还记得我一开始说的“通常，一旦密码泄露，问题要么出在用户身上，要么出在网站上”？

这是一种特殊情况：被“凭证填充”的网站没有出错，用户也没有出错，但密码仍然泄露。

关键是很多用户在不同的网站平台上使用相同的账号和密码。

好了，一口气说了这么多。 总结起来，有以下几点：

1、首先，避免木马或钓鱼，杜绝主动泄露密码的可能。

2、账号密码不要设置过于简单，以免主动送人生命。

3、不要将密码设置为万能钥匙，以免一处被破解，到处丢失。

这个时候大家可能又会说，其实这些都是老生常谈，道理我们都明白，但是却做不到。

如果你希望你的密码安全，它必须更复杂。 如果太复杂，你就记不住。 如果你希望你的密码好记，那么黑客就很容易记住它，所以不安全。

我明白。 事实上，我写了这么多。 关于密码，大家只关心两点：

安全且易于记忆。

那么，最终的问题来了，如何在安全性和易用性之间找到完美的平衡点？

挖了这么大一个坑，黑哥就来想办法把它填上。

如何使密码易于记忆且安全

针对以上三点，我们要对症下药。 如果我们希望密码更加安全，就需要设置一个复杂的密码，并且在不同的网站上设置不同的复杂密码。

可以参考这些条件：第一，尽量使用3个以上的符号，比如大小写字母+数字+特殊符号； 其次，长度应为8位或更多； 第三，没有明显的规律。

基于这些条件，结合多年的网上经验，我摸索出了一套设置密码的方法，分享给大家。 主要思想是：“基本密码变形+网站对应标识”

只要记住基本密码和更改规则，然后根据不同的平台名称填写，就可以达到既安全又好记的目的。

我们举个例子：

1. 基本密码

只要是你喜欢的句子、诗词等，只要你能记住，那就用句子的拼音或者拼音的第一个字母作为基本密码

比如：我是帅哥，那就是wsdsg。 如果太短，还可以添加注册年份：

或者最常用的数字，比如你的生日加上你名字的首字母：，不要直接用，可以用Shift键符号替换法。 输入基本密码时，可以按住shift键，然后依次输入按键，这样实际输入的基本密码就变成了@))*)*)*MQ

或者您可以将基本密码中的数字和字母相互转换，用字母代替部分数字，用数字代替字母。 例如，0 替换为 o，g 替换为 9。

反正只要记住了，就可以随意改造。 其实你只需要记住这些基本密码就可以了。

2.网站对应标识

这很容易理解。 您可以使用网站主域名的前两个字母作为网站徽标。 例如，淘宝的域名是 ，则可以选择 t 和 o，新浪 sina 的域名是 s 和 a。 你不必点击这个。 只要你还记得。

然后将基本密码放在这两个字母之间。 为了满足很多网站要求密码必须包含大小写字母的规则，最好使用一大一小写。 例如，淘宝账户的密码是T@))*)*)* o。 新浪帐号密码为S@))*)*)*a

这些是基本的想法。 其实你只需要从头到尾记住基本密码，并在遇到的任何网站上添加相应的域名标识即可。

说了这么多，这个密码可靠吗？

还记得我向您介绍了一个测试密码强度的网站吗？

我们先检查一下基本密码的强度，以如下为例：

破解这个8位+2个字母的弱密码需要1天的时间。

如果使用shift输入变形，密码为@))*)*)*MQ

破解需要4天。

最后添加网站相应的logo进行改造。 例如淘宝账号密码为T@))*)*)*o

破解最终密码需要三千年的时间。

基本上这个密码的强度是相当不错的，你只需要从头到尾记住你的生日和名字就可以了。 如果您需要更高的密码强度，可以增加位数和变换次数，直到满意为止。

另外，除了需要在密码中添加网站徽标外，最好在您经常使用的帐户中添加网站徽标。 不要用一个用户名来统治世界。 比如在淘宝注册时，账号就变成wldxh。

原因很简单，因为很多时候，你通过搜索同一个ID就可以找到你在各个网站注册的账号，这样可以降低被人肉搜索的风险。

所以，走遍天下，稳定才是最重要的。

结论

这就是今天关于密码管理主题的全部内容。 希望那位朋友不要再想着盗用前女友的微信账号了。 首先，现在许多账户都绑定了手机号码，这除了密码之外还提供了一层额外的保护。 ，加上密码稍微复杂一点，基本没有被盗的机会。 其次，这实在是太丢脸了。

就让过去的事随风而去吧。

对了，有些朋友可能还会问，使用那些密码管理工具是不是更方便、更安全呢？ 哪种工具使用起来更有效率？

由于这篇文章已经很长了，所以我改天再讨论这个话题。

对于我来说，我还是更喜欢用自己的一套记忆方法和变换规则来记住心里的密码，比较实用。

好吧，至于其他靠一套万能密码走遍天下的朋友，希望这篇花了三天时间写的文章能给你们一些启发。 如果对你有帮助的话，别忘了点个赞哦。

新朋友请先阅读这里

：

新的好处：

黑哥获得了电子工业出版社老师们给大家送书的福利。 即日起，留言点赞最多的朋友每天都会获赠实体书一本，而且每天的书都不一样！ 免费送货上门，欢迎留言！ 请注意，您必须按照以下格式回复才能参与：图书请求+图书标题+图书相关消息。