作者分享了4年专注离线密码破解的经验，涵盖技术原理、工具选择、实战技巧及安全启示。文章强调离线破解在安全评估中的重要性，并提供了从基础到进阶的学习路径。
核心要点
- 离线密码破解是安全评估的核心技能，需掌握哈希算法、字典攻击和暴力破解等基础。
- 常用工具包括Hashcat、John the Ripper，其中Hashcat支持GPU加速，速度提升显著。
- 实战中，规则优化（如组合规则、掩码攻击）可大幅提高破解效率，例如使用rockyou.txt字典。
- 4年经验总结：耐心和系统学习是关键，建议从简单哈希（如MD5）开始，逐步挑战复杂算法（如bcrypt）。
- 安全启示：使用强密码（长且随机）和加盐哈希可有效抵御离线破解。
正文
作者花费4年时间系统学习离线密码破解，从基础理论到高级技巧，最终成为该领域专家。
核心原理：离线破解依赖哈希值，攻击者获取哈希后，通过字典或暴力方式尝试匹配。哈希算法（如SHA-256、bcrypt）的强度直接影响破解难度。
工具选择：Hashcat是首选，支持GPU加速，每秒可尝试数十亿次；John the Ripper适合CPU环境，灵活性高。实战中，规则文件（如best64.rule）能自动生成变体，提升命中率。
学习路径：从MD5等简单哈希入手，使用rockyou.txt字典练习；进阶学习掩码攻击（如?l?l?l?d?d）和组合攻击；最后挑战bcrypt、scrypt等抗GPU算法。
安全启示：强密码（至少12位，含大小写、数字、符号）和加盐哈希（如bcrypt成本因子12）是防御关键。企业应定期进行渗透测试，验证密码策略有效性。
关联概念
- 哈希算法
- 字典攻击
- 暴力破解
- GPU加速
- 加盐哈希
可操作项
- 安装Hashcat并下载rockyou.txt字典，尝试破解简单MD5哈希。
- 学习规则文件编写，优化破解效率。
- 使用bcrypt生成测试哈希，对比不同算法的破解时间。
- 在企业环境中部署密码策略，要求密码长度≥12位且包含多种字符。
原文: Show HN: I Dedicated 4 Years to Mastering Offline Password Cracking
自动加工于 2026-05-21 20:50