撞库（Credential Stuffing）

撞库（英文 Credential Stuffing，又译「凭据填充」）是一种网络攻击方式，指攻击者利用从某个网站泄露出来的大批用户名和密码，去批量尝试登录其他网站或系统，从而「撞」出可以成功登录的账户。

概述

撞库之所以能得手，根源在于很多人图省事，在不同网站上使用相同的用户名和密码。有调查显示，八成左右的用户曾在两个以上的网站重复使用密码，还有相当一部分人几乎所有账户都用同一个密码。一旦其中任何一个网站发生数据泄露，攻击者手里就等于拿到了一把可能打开用户其他账户的「万能钥匙」。

攻击的流程通常是：先从暗网或黑产渠道收集泄露的账号密码组合（俗称「社工库」），再借助自动化脚本或专门工具，配合代理 IP 池绕过频率限制，向目标网站发起海量登录尝试。哪怕成功率只有千分之几，面对数以亿计的泄露数据，也能撞出大量有效账户。

撞库容易和暴力破解混淆，但两者思路不同：暴力破解是对一个账户穷举猜测密码，而撞库用的是已知的真实密码组合去试别的网站，效率高得多，也更难被简单的错误次数限制拦截。

主要危害

• 资金损失：若撞开的是支付、银行、交易所等涉及资金的账户，余额可能被直接盗走。
• 隐私泄露：邮箱、网盘、社交账号被登录后，聊天记录、照片、通讯录等隐私可能被窃取或用于勒索。
• 账号倒卖：撞出的会员账号、游戏账号常被黑产打包出售，形成灰色产业链。
• 连锁攻击：控制邮箱后可重置其他网站密码，导致更多账户失守。

如何防范

• 不同网站用不同密码，这是防撞库最根本的一条，可借助密码管理器生成并保存随机密码。
• 开启两步验证（2FA），即使密码被撞出，攻击者没有验证码也难以登录。
• 关注泄露通报，发现常用邮箱出现在泄露事件中时，及时修改相关网站密码。
• 网站方则可通过验证码、登录频率限制、异地登录提醒和风控系统来拦截批量登录请求。

常见问题

问：撞库和拖库是一回事吗？答:不是。拖库指黑客入侵网站并「拖」走其数据库，是数据泄露的源头；撞库则是拿这些泄露数据去试登其他网站，是泄露之后的下游攻击，两者常被并称为「拖库—洗库—撞库」链条。

问：我的密码很复杂，还怕撞库吗？答:密码再复杂，只要在多个网站重复使用，任何一处泄露都会让其他账户暴露在撞库风险中。复杂度防的是暴力破解，「一站一密」防的才是撞库。

问：怎么知道自己的账号是否被泄露过？答:可以使用查询泄露记录的公开服务检索自己的邮箱，或留意各网站发出的安全通知；一旦确认泄露，应立即修改该密码及所有使用相同密码的账户。