撞库成功率有多高？真实情况没那么吓人

先把结论说清楚：撞库成功率有多高真实情况没那么吓人，这句话不是安慰人。如果按一次批量登录里能开几个账号来算，绝大多数普通用户一辈子也碰不上一次；可站在做站的人这边，怕还是怕，因为这类攻击的伤害很集中，成功一次就够你收拾好一阵子。

撞库成功率有多高真实情况没那么吓人，得先看分母是谁

“成功率”听着科学，实际上没什么统一口径。是每条试过的密码算一条，还是每个账号算一条？样本是从好几年前的老库里抽的，还是刚流出来的新库？卖库的人说自己命中率高，那是为了卖货；被撞过的站长说没几个账号出事，那是他只看得见前台。两边数字都对不上，拿一个百分比当真理没意义。我一般劝人别追这个数，看条件比看比例有用得多。

新闻看着吓人，多半是幸存者偏差

你刷到的“某站被撞，几十万账号外泄”，都是出了事才有的版面。没出事的上不了新闻，出了事但没发现的更不会开口。再加上标题要的是点击不是比例，写“撞库成功率有多高”永远比写“大部分账号根本没事”好看。风险我不想否认，只是想让你把“我被盯上了”和“我被撞开了”分开，前者天天有，后者少得多，但真摊上一次，代价基本落在站长头上。

这套流程跑起来，没什么技术含量

步骤很土：先攒料，也就是一批“邮箱加密码”，多半来自别处泄露；再写个脚本对着目标站登录接口一批批试；中间换代理 IP，碰上验证码就上打码平台或者转人工。整套工具网上都有现成的，有点基础就能搭起来。它跟那种要找漏洞、拿 shell 的攻击不是一路，更像拿一大串钥匙挨个捅门锁，赌的是有人懒得换锁。

顺带把撞库和暴力破解分一下，这俩经常被混着说。暴力破解是对着一个账号死磕，猜各种组合；撞库是拿一批已知的账号密码去别的站试。前者慢、容易被锁；后者快，只依赖一件事：你在到处用同一个密码。防守的思路也因此不一样，先管住复用比什么都划算。

成功率突然变高，多半是几个条件凑齐了

一是密码复用。同一个密码在邮箱、论坛、后台、支付上到处用，一处漏了，别处全开门。二是没开二次验证，密码对就直接放人进去。三是老系统、测试环境、内部后台直接挂在公网上，风控等于没有。四是撞的那批料和目标站的人群高度重合，比如某个行业论坛的库拿去撞同行业的另一个站，命中就会高出一截。这几条凑齐两三条，就不是吓不吓人的问题了，是“什么时候轮到你”。

印象最深的一个是别人家的后台，用户名 admin，密码是公司名拼音加个年份。这东西不用撞库，随便猜两把就进去了，进去之后挂了一堆乱七八糟的东西。事后复盘，问题不在密码多复杂，而在这个后台从上线起就没人管，日志也没留。撞库只是那根火柴，柴堆是自己攒的。

被撞开的痕迹，经常不在“登录成功”那一条里

很多人排查只翻登录成功的记录，看有没有陌生 IP。这不够。密码被改、绑定邮箱或手机被换、突然多出一个子账号、后半夜有人登录、发信量陡然变大、后台冒出个不认识的插件，这些才是撞开之后真正干的活。所以日志得留够时间，别三天两头清；有条件把管理员操作单独记一份，异地登录发个提醒。这不是为了抓人，是为了早几天发现。

花钱最少的几道防线，先排个序

我会这么排：管理员账号先开二次验证，能用动态口令或硬件密钥就别只靠短信；登录接口加限速和验证码，同一 IP、同一账号连续失败就往上加等待时间；后台地址别放在域名后面接个 admin 这种一猜就中的地方，能加 IP 白名单就加；再准备一份常见弱口令清单，注册和改密时直接拒掉。这几样花不了多少钱，就是麻烦，得有人真去配、真去测。

自查别只盯着网站前台

数据库账号、SSH、面板、企业邮箱、对象存储，还有那些忘了下线的测试站，逻辑都一样。测试环境用 test/test 这种，比前台弱口令危险多了，因为它往往没日志、没人看、还连着正式库。离职同事的账号有没有停，外包做完活给的临时账号有没有删，这些比研究撞库成功率实在。想查自己的邮箱在不在泄露库里，有些公开的查询站能查，但记住别在陌生的网站上输入密码，查询本身不需要你的密码。

要动手的话，今天就能做三件：把管理员账号的登录日志拉出来看一遍，找异地和凌晨的记录；给后台和数据库都开上二次验证或者 IP 限制；把反复使用的密码挑出来换掉，尤其是邮箱那一个。别指望做到零风险，能做到“被撞开了三天内知道”就已经比大多数人强。真要说这事儿有多吓人，我看是新闻标题吓人，落到具体的站上，多半是懒出来的窟窿。