撞库攻击

撞库攻击(Credential Stuffing)是一种利用已泄露的账号密码组合,批量尝试登录其他网站或应用,从而盗取用户账户的网络攻击方式。

概述

许多用户习惯在不同网站使用相同的账号和密码。当某个网站发生数据泄露后,攻击者会把泄露的「账号-密码」组合整理成字典(即所谓的「库」),再借助自动化工具到其他网站批量尝试登录——就像拿着一大串钥匙挨个去撞别人家的锁,故称「撞库」。

撞库与暴力破解不同:暴力破解是针对单个账号穷举大量密码,而撞库使用的是真实泄露的凭据,成功率更高,也更难被识别。一旦登录成功,攻击者可窃取个人信息、盗刷资金、倒卖账号,或以被盗账户为跳板实施进一步攻击。

主要特点

• 依赖已泄露数据:攻击素材来自其他平台的数据泄露事件,而非目标网站自身的漏洞。
• 高度自动化:攻击者通常借助脚本、代理 IP 池等手段绕过频率限制和验证码,短时间内发起海量登录请求。
• 成功率高于暴力破解:由于大量用户在多个网站重复使用同一密码,即使命中比例不高也能带来可观收益。
• 隐蔽性强:单次请求与正常登录几乎无异,且常通过分布式 IP 分散流量,难以被简单封禁。

如何防范

对个人用户而言,最有效的防御是不在多个网站重复使用同一密码,可借助密码管理器为每个站点生成独立的强密码,并尽量开启两步验证(2FA),即使密码泄露也能挡住多数撞库尝试。

对网站运营方而言,常见措施包括:登录风控与异常行为检测、限制登录频率、引入验证码或设备指纹识别、将用户密码与已知泄露库比对并提醒修改、对高风险账户强制重置密码等。

常见问题

问:撞库和暴力破解有什么区别?答:暴力破解是对某一个账号穷举尝试大量密码;撞库则是用真实泄露的账号密码组合去其他网站尝试登录,效率和成功率通常更高,也更难被防火墙识别。

问:我的密码很复杂,还会被撞库吗?答:密码再复杂,只要在多个网站重复使用,其中任何一个网站发生泄露,都可能导致其他账户被撞开。防撞库的关键在于「一站一密」,而不只是密码复杂度。

问:如何知道自己的账号是否已经泄露?答:可以通过 Have I Been Pwned 等公开的泄露查询服务,检查自己的邮箱或账号是否出现在已知泄露数据中;如果查到泄露,应尽快修改相关网站的密码并开启两步验证。