破解滑动验证码：从自动化查询备案信息思考验证码安全性

后端

2023-12-16 12:20:02

破解滑动验证码：揭露验证码安全性的隐患

随着网络威胁的不断演变，验证码在保护在线平台免受恶意自动化攻击和垃圾邮件发送方面发挥着至关重要的作用。然而，传统验证码机制的安全性也受到质疑，其中滑动验证码就是一个常见的例子。

滑动验证码的工作原理

滑动验证码要求用户将图片中的滑块拖动到指定位置，通常覆盖着一张扭曲或模糊的图片，以增加识别难度。服务器会监测用户的鼠标移动轨迹，包括速度、加速度和偏移量，以确定操作是否符合正常人类行为模式。如果检测到异常行为，则验证码会判定失败。

破解滑动验证码的方法

研究人员提出了一种针对滑动验证码的破解方法，利用自动化查询域名或公司的备案信息。该方法利用以下步骤：

获取验证码图片
提取图片中的域名
查询备案信息
根据备案信息中的地址计算滑块轨迹
自动提交轨迹给服务器

思考验证码安全性问题

这种破解方法突显了传统验证码机制的安全隐患：

用户行为模式单一： 验证码监测的鼠标移动轨迹等行为模式容易被自动化程序模仿或伪造。
缺乏多重验证： 滑动验证码通常作为单一验证机制，攻击者可以专注于破解验证码，绕过其他安全措施。
信息泄露风险： 验证码图片可能包含敏感信息，如域名或公司名称，攻击者可利用这些信息实施钓鱼攻击。

设计更安全的验证码机制

为了增强验证码安全性，可以采用以下策略：

多重验证机制： 将滑动验证码与短信验证码、人机识别等机制结合，增加破解难度。
复杂的行为模式： 设计验证码机制，要求用户进行更复杂的行为，如手势识别、图像旋转，以区分自动化程序和人类。
保护敏感信息： 避免在验证码图片中显示敏感信息，可使用抽象图片或不包含敏感信息的方式呈现验证码。
定期更新机制： 随着攻击技术的不断发展，验证码机制也需要定期更新，以跟上最新的安全威胁。

代码示例

以下代码示例演示了使用 Python 自动查询域名备案信息并破解滑动验证码的方法：

import requests
import re

# 获取验证码图片并保存为文件
image_url = "https://example.com/captcha.png"
requests.get(image_url, stream=True).raw.decode_content = True
with open("captcha.png", "wb") as f:
    shutil.copyfileobj(requests.get(image_url, stream=True).raw, f)

# 提取图片中的域名
with open("captcha.png", "rb") as f:
    image = Image.open(f)
    text = pytesseract.image_to_string(image)
domain = re.search(r"https?://[^\s]+", text).group(0)

# 查询备案信息
api_url = "https://api.whois.net/lookup?domain=" + domain
response = requests.get(api_url).json()
address = response["registrant"]["address"]["street1"]

# 根据备案信息计算滑块轨迹
offset = len(address) * 10
# ...

# 自动提交轨迹给服务器
# ...