Python教程(33)枚举法的局限性

前面几篇我们用了很多枚举法的案例：韩信点兵、鸡兔同笼、百钱买百鸡、水仙花数、完全数。

枚举法用起来很“爽” —— 简单直接，不需要复杂的数学推导，只要把所有的可能都列出来，一个一个检验就行了。

但枚举法有一个致命的弱点：当范围太大时，计算量会急剧增长，甚至大到计算机也扛不住。

今天就用一个最贴近生活的例子来说明——暴力破解密码需要多久？

假设一个密码是 4 位数字（0000-9999），用枚举法一个一个试。

代码如下：

运行结果如下：

如果是一个六位数字密码呢？

代码如下：

运行结果如下：

现在模拟纯数字密码破解时间，都按最坏的情况（即全都是最大的数字）

代码如下：

运行结果如下：

在运行到第8位时，等得我有些着急，在运行到第9位时，等得我有些怀疑人生。

已经不敢测试10位或以上的情况了。

需要说明的是：用时跟电脑性能也有关系，有兴趣的小伙伴可以自行测试一下。

这就是为什么重要账号要设置 8位以上的密码。

每增加一位，破解时间乘以 10。

这就是为什么重要账号要设置 8位以上 的密码。

如果再算上字母和符号，时间会延长到数年甚至数百年。

这就是为什么：

• 重要账号要设置 8 位以上混合字符 的密码

• 银行、支付系统会用 短信验证码 + 人脸识别 等多重验证

• 加密算法要用很长的密钥

所有这些都是为了让暴力破解的时间成本高到“不值得”。

除了暴力破解，黑客还常用这几种方式窃取密码：

1、字典攻击

暴力破解是一个一个试，字典攻击是有策略地试——先把常见密码（如"123456"、"password"）和常用单词做成一个“字典”，然后用这些组合去尝试登录。

如果你的密码是常见单词加几个数字，很容易被命中。

2、撞库攻击

很多人习惯在不同网站用相同的用户名和密码。黑客从A网站窃取数据库后，拿着这些账号密码，去B、C、D网站批量尝试登录。

3、社交工程攻击

比如假装是IT部门人员，打电话骗员工说出密码；或者发送伪装成银行官方的钓鱼邮件，诱导点击伪造的登录页面窃取账号密码。

4、击键记录与屏幕记录

在用户电脑植入木马程序，记录键盘敲击的每一个按键，从而获取密码。如果输入密码时点击屏幕上的虚拟键盘，木马就会截屏并记录鼠标点击位置来破解。

5、嗅探攻击

在公共Wi-Fi等网络中，用嗅探器程序截获网络上传送的数据包。如果信息没有加密（如使用HTTP、FTP等协议），密码就可以被直接读取。

所以，我们可以这样做：

• 设置 8 位以上混合字符密码（大小写字母 + 数字 + 符号）

• 不同网站用不同密码（防止撞库攻击）

• 开启双重验证（短信验证码、人脸识别等）

• 不点击可疑链接，不轻易透露密码（防止社交工程攻击）