撞库攻击是一种自动化攻击：把从某个服务窃取的用户名和密码组合拿到其他服务上尝试。它得手是因为人们重复使用登录信息，所以被攻击的网站本身不必发生过最初的泄露。“撞库”是 credential stuffing 的通行中文译法；OWASP 把它列为自动化威胁 OAT-008，安全团队也称之为 account checking、credential replay 或 password list attack。

关键要点

撞库攻击重放的是已知的凭据组合，主要不是在猜新密码。

一个复用的密码，可能让低价值网站的泄露演变为邮箱、购物或金融账号失守。

独有密码、密码管理器、MFA 和通行密钥能降低用户侧风险。

服务方需要多层检测、拦截已泄露密码、速率控制和有用的安全通知。

这种攻击位于网络安全指南中的账号层。

撞库攻击怎样运作？

数据泄露、恶意软件活动、钓鱼行动或犯罪市场产生用户名和密码列表。
攻击者针对目标服务清洗并整理这些列表。
自动化工具把登录尝试分散到不同设备、网络或时间段。
通过响应行为、账号页面或后续操作识别登录成功的账号。
有效账号被滥用、转卖、用于欺诈，或被挖掘更多个人资料。

OWASP 把这种威胁定义为用大规模登录尝试验证被盗的用户名/密码组合，组合常来自其他应用或公开泄露数据。［1］目标服务即使妥善保护了自己的密码库，仍可能收到从别处复用的有效凭据。

自动化不只是快速提交表单。操作者会规范邮箱格式、剔除明显无效记录、适应各网站的响应，并以混入正常流量的节奏测试。列表够大时，很低的成功率也能产出有价值的账号，所以防御方必须综合观察认证事件，而非孤立判断每次尝试。

撞库攻击与暴力破解、密码喷洒、钓鱼有何区别？

攻击	输入	模式	主要弱点
撞库攻击	被盗的用户名/密码组合	用大量已知组合测试许多账号	凭据复用
暴力破解	大量猜测的密码	对一个账号反复猜测	弱密码或可猜密码
密码喷洒	一个或几个常见密码	用同样的猜测尝试许多账号	常见密码加上薄弱的速率控制
钓鱼	欺骗性的消息或页面	诱骗用户交出机密或批准访问	核验失败和社会工程

OWASP 防护指南同样区分：暴力破解对一个账号试多个密码，撞库攻击测试来自其他泄露的组合，密码喷洒把一个弱密码拿到许多账号上试。［2］撞库可能用到最初由钓鱼收集的数据，但自动化重放是独立阶段。

为什么密码复用会放大撞库攻击？

邮箱地址普遍被当作用户名复用；密码也复用时，一组凭据就能在无关服务间通用。攻击者可以优先攻击邮箱、零售、流媒体、旅行、游戏和支付网站，无需在每个目标破解密码哈希。

风险不对称：冷门论坛的泄露可能暴露能打开主邮箱的组合；邮箱失守后，重置邮件又能扩大接管。所以不能只凭账号价值决定密码是否要独有。

只在泄露的服务上改密码无法遏制扩散。每个复用该组合的账号都各自暴露，直到换上独有凭据；改密码前已建立的会话也可能需单独撤销。先处理掌控恢复、资金、工作数据或可信通信的账号。

用户怎样做好撞库攻击防护？

每个账号使用独有密码。 密码管理器让这件事切实可行。
按优先级替换复用的密码。 从主邮箱、金融、云服务、平台和工作账号开始。
开启 MFA 或使用通行密钥。 这样被盗密码用于新登录的价值就更低。
对可信的泄露提醒采取行动。 修改受影响的密码，以及所有复用过它的地方。
查看安全活动。 撤销陌生会话、设备、应用访问和恢复方式。
不要批准意外的 MFA 请求。 反复弹出的请求可能意味着攻击者已经拿到了密码。

OWASP 撞库防护指南称 MFA 为最有力的通用防御，并指出通行密钥让更强认证在现代设备上切实可行。独有密码仍然重要，因为各服务的 MFA 支持和恢复途径不同。

通行密钥改变了攻击者的输入：没有可拿到其他域名重放的共享密码字符串。用户仍需保护设备解锁、账号恢复、同步通行密钥的服务商和活跃会话。它降低撞库暴露，但不能消除所有接管途径。

关于密码管理方式的选择，请参阅密码管理器是否安全和何时应该改密码。

服务方怎样阻止撞库攻击？

没有任何单一控制措施足够。服务应组合使用：

支持 MFA 和通行密钥，并对高风险操作进行升级认证。
在创建或修改密码时拦截常用和已泄露的密码。
按账号、按网络以及更广泛的行为进行速率控制。
检测一个客户端测试大量账号，以及分布式客户端测试相关凭据列表。
把设备和连接信号作为风险输入，而不是不容置疑的身份证明。
对异常登录、密码更改、恢复设置更改和新增验证因素发出通知。
在事件期间仍可用的会话撤销、账号恢复和欺诈审查。
统计尝试、被挑战、被拦截和成功的认证事件。

NIST 要求把拟设密码与常见、可预期或已泄露密码的黑名单比对，并在有证据表明验证器泄露时要求改密码。［3］OWASP 建议识别已泄露密码并分层防御，因为单靠封 IP 或 CAPTCHA 可能被绕过，或对用户造成不可接受的伤害。

为什么限速和 CAPTCHA 还不够？

攻击者可以把尝试分散到大量 IP、放慢速度、模仿浏览器，并复用把握较高的组合。过严的全局限制也可能锁住正常用户，甚至变成拒绝服务工具。

CAPTCHA 提高自动化成本，但不会让正确的凭据组合失效。有效控制会跨账号、网络、设备、时间和敏感操作关联行为，再按风险增加阻力。

例如，服务可放行熟悉的低风险登录，对出现在跨账号模式中的正确密码发起挑战，并拦截快速测试大量无关用户的客户端。这种分层响应比信任单个 IP 更有韧性，也避免单一阈值变成轻易锁号的工具。

收到撞库提醒后怎么办？

通过官方 App 或手动输入的网址打开服务。
确认提醒描述的是登录尝试还是成功登录。
撤销陌生会话，把密码改成独有密码。
修改所有复用过同一密码的其他账号。
核实 MFA、恢复资料、第三方授权和近期活动。
即使首个提醒来自价值较低的服务，也要检查主邮箱和金融账号。

如有成功的陌生会话，请按完整的账号恢复清单处理。不要认定每条登录失败通知都意味着设备中毒；凭据列表可能来自无关的泄露。

总结

撞库攻击自动重放在别处被盗的凭据组合。
它不同于针对单个账号猜密码、用一个密码喷洒大量账号，也不同于通过钓鱼欺骗用户。
独有密码能把一次泄露的损害控制在一处。
MFA 和通行密钥降低被盗密码的价值，但恢复和会话控制仍然重要。
服务方需要拦截已泄露密码、分层的速率和异常控制，以及可操作的提醒。

常见问题

撞库等于入侵密码数据库吗？

不等于。凭据可能来自另一次泄露、恶意软件、钓鱼或犯罪市场。目标服务接受测试的，是可能本来就正确的凭据。

强密码能阻止撞库吗？

强度有助于防猜测，但这里关键是独有。再强的密码若在多个网站复用，一处泄露后仍可被重放。

密码管理器能防撞库吗？

它为每个服务生成并保存不同密码，所以有帮助；但无法撤销已暴露的密码或修复已被入侵的账号，收到泄露提醒仍需行动。

MFA 能彻底解决撞库吗？

它能拦住许多仅靠被盗密码的新登录。但攻击者仍可能针对薄弱的恢复流程、窃取活跃会话，或诱骗用户批准请求，所以仍需要分层控制。

Passkey 能抵抗撞库吗？

通行密钥与具体服务绑定，不会产生可复用的共享密码组合。不过普及程度和恢复方式各不相同，用户仍应检查会话并保护账号的恢复方式。

OWASP 怎样描述撞库攻击？

OWASP 自动化威胁手册把撞库攻击列为 OAT-008，并与 OAT-007 凭据破解（credential cracking）区分：后者是猜测凭据值，而不是重放被盗的组合。它的撞库防护速查表把 MFA 列为最佳防御，CAPTCHA、IP 缓解、指纹识别和已泄露密码检查则作为补充的分层措施。

为什么攻击者也要测试游戏或影音账号？

低价值账号也可能有支付方式、虚拟物品、个人资料或复用的凭据；有效账号还能被转卖或用来接触联系人。

提醒是否说明目标服务被泄露？

不一定。凭据组合可能从别的网站泄露，然后在这里被测试。请同时检查收到提醒的账号，以及所有复用过该密码的账号。

成功陌生登录后第一步是什么？

通过官方服务撤销陌生会话，把密码改成独有密码，核实恢复和 MFA 设置，并保护所有复用过旧密码的其他账号。

免责声明：本文提供一般网络安全教育，不构成法律、取证或专业事件响应建议。

来源

OWASP Automated Threats to Web Applications — OAT-008 Credential Stuffing — https://owasp.org/www-project-automated-threats-to-web-applications/assets/oats/EN/OAT-008_Credential_Stuffing
OWASP Cheat Sheet Series — Credential Stuffing Prevention Cheat Sheet — https://cheatsheetseries.owasp.org/cheatsheets/Credential_Stuffing_Prevention_Cheat_Sheet.html
NIST SP 800-63B-4 — Password requirements — https://pages.nist.gov/800-63-4/sp800-63b.html

Sources checked 2026 年 10 月 4 日。

延伸阅读：

什么是撞库攻击（Credential Stuffing）？