撞库攻击3个套路，每个都能偷走你的号

密码改得再勤，也拦不住一种偷号的法子——你压根没在那一页输过密码，号就没了。这活儿叫撞库，不是什么高深技术，本质就是拿一份别处漏出来的账号密码清单，到你常用的站点上一遍遍试。听上去笨，可它管用。撞库攻击3个套路每个都能偷走你号，这话不算夸张，见过太多人栽在这上头，回头还以为是手机中了病毒。

撞库攻击3个套路每个都能偷走你号——先把套路看清楚

为什么管用？一堆人一套密码走天下：购物站、论坛、公司后台、云面板，全是同一个。哪家小站被拖了库，那份清单流到黑产手里，剩下就是批量试。干这行的人不靠技术吃饭，靠概率，一百个里中一个就够本了。有人被撞了号还纳闷：我密码那么长，怎么就被猜中了？没人猜，是你自己在别处交出去的。

还有个小坑很多人没留意——错误提示在帮忙。登录框回一句“用户名不存在”，换个又回“密码错误”，等于告诉对方哪个账号是真的。这类细节攒起来，撞的效率能翻几倍。有些站连注册页都能试出账号是否存在，道理一样。

套路一：拿旧密码本，挨个站试

最土的一种，也最常见。清单来源多是中小站被拖库、老论坛整站导出，还有内部人顺手带走。你说我密码很复杂？没用，只要你在别处用过，而那家漏了，你就在那份清单上。清单还会被反复清洗、去重、按行业分类，卖的时候甚至标注“某类站点可用”。

这种攻击的特征好认。后台登录日志里，失败记录集中在同一批IP、时间挨得很近、用户名成片地试：admin、test、root，还有你站长的名字。更懒的用脚本跑，请求头一模一样。装面板或者WordPress的，翻 access_log 里短时间几十上百条打 wp-login.php 的 POST，基本就是它。

套路二：不撞密码，撞的是接口和凭证

稍微讲究一点的，盯的不是登录页，是那些没做限流的接口。短信验证码接口、找回密码接口、App里的登录API。页面上那个登录框有验证码有图形校验，接口那头啥都没有，抓个包直接循环调，一样能试出东西来。密码找回流程也一样，有些站的令牌生成不够随机，或者用完不销毁，能反复用。

还有撞凭证的，偷的是你登录后留下的cookie或者token。这东西不用密码，拿到了带上就进后台，很多人直到号被改绑才发现。所以别觉得“我没泄露密码就没事”。共享虚拟主机上更得留神：同一台机器上要是别的站被挂了马，文件权限又松，配置文件、缓存里的会话都可能被顺走。买之前问一句目录隔离、open_basedir 开不开，不算多余的事，以服务商实际策略为准。

套路三：撞后台、撞面板，虚拟主机上尤其多

这一种最容易被忽略。很多人以为后台地址藏起来就安全了，可面板端口是固定的，默认路径也是公开的。8888、/pma、wp-login.php，全网的扫描器一天到晚在扫。你的站可能根本没被谁盯上，只是被扫到了。

面板弱口令、端口对外开放、没做IP白名单，这三样凑一起就等于把门虚掩着。改端口、限制来源、开二次验证，花不了多少工夫，却能挡掉绝大部分机器人。顺便提一句，面板的默认账号别用admin，密码别用你名字拼音加生日，这种组合在字典里排得很前。

站点这边怎么防，别只盯着改密码

第一件事，给登录加“慢”。失败几次锁一段时间，或者上验证码。Nginx层面用 limit_req 限制登录路径的请求频率，简单管用，写两条规则的事。第二，二次验证，后台和面板都开。第三，错误提示统一成“账号或密码不正确”，别贴心。

还有几条琐碎的：不用的 xmlrpc.php 关掉；业务连接数据库别用root；备份文件别命名成 backup.zip 扔在网站根目录；插件只从官方库拉，破解版少碰。都是老生常谈，可真出事的站，多半就是这堆琐碎里漏了一条。

已经被撞了，先做这几件事

别急着删站重装。先看日志：登录成功的时间点、来源IP、之后动了哪些文件。然后改密码——邮箱、面板、数据库、FTP，一套一套过，别再复用。把已登录的会话踢掉，后台一般有“退出所有设备”。再翻一遍网站目录，看有没有新上传的php文件、时间戳奇怪的。最后查一遍DNS解析记录和证书，有些撞库是顺手改跳转的。

站上如果存着用户资料，那就不是改个密码能收尾的事了，得按合规口径评估要不要告知、要不要上报。这块以监管要求和官方页面说明为准，别自己拍脑袋决定。

真要图省事，就记一句：你在别处用过的密码，等于已经公开了一半。把后台门关紧、把二次验证开上、把失败次数限住，这三件先做，比装十个安全插件都实在。