前幾天，我們都在研究複雜的程式碼漏洞（SQLi, XSS, 文件上傳）。今天，我們將學習一個更簡單，但同樣有效的攻擊手法：密碼暴力破解（Brute-Force）。

暴力破解是一種「窮舉法」：它不是利用軟體漏洞，而是透過電腦不斷地嘗試所有可能的密碼組合，直到找到正確的密碼為止。雖然聽起來很笨，但因為人類常常使用弱密碼，這種攻擊方式仍然非常盛行。

今天，我完成了 TryHackMe 的 "Hydra" 房間，學習了如何使用這個強大的工具來自動化這項工作。

Hydra：暴力破解的專家

Hydra 是一款專門用來進行暴力破解的工具，它能同時針對多種網路服務發動攻擊，例如：遠端登入的 SSH、檔案傳輸的 FTP，或是網站的登入頁面等。
它的核心原理是利用 「字典檔（Wordlist）」：

• 字典攻擊： 駭客會載入一個包含數百萬組常見密碼的清單。
• 自動化嘗試： Hydra 會高速地嘗試清單中的每一組密碼。
• 成功入侵： 一旦找到正確的密碼，Hydra 就會停止，並將結果告訴駭客。

我今天實作的過程，讓我親眼見識到 Hydra 在數秒內嘗試數百組密碼的能力，如果目標系統的密碼設得太簡單，幾乎是擋不住的。

攻防心得：弱密碼是最大的漏洞
今天的學習讓我對資安有了更深的體悟：最大的漏洞往往是「人」。

• 駭客視角： 透過 Hydra，我意識到如果目標系統沒有設置帳號鎖定機制或嘗試次數限制，只要我有足夠的時間和一個好的字典檔，幾乎就能破解任何弱密碼。

• 防禦者視角： 抵禦暴力破解的方法很簡單，但卻極度有效：

1. 設置強密碼： 要求使用者密碼夠長、夠複雜。
2. 限速（Rate Limiting）： 限制每秒的登入嘗試次數。
3. 帳號鎖定： 錯誤嘗試幾次後，就暫時鎖定該帳號。

這告訴我，資安防禦的第一線，往往是從要求使用者使用強密碼開始的。