搜索

[9852] 2016-02-26_验证码的前世今生（前世篇）

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2016-02-26_验证码的前世今生（前世篇） 验 证 码 的 前 世 今 生 （ 前 世 篇 ） 阿 里 云 誉 反 欺 诈   F r e e B u f   2 0 1 6 - 0 2 - 2 6 常 在 网 上 晃 悠 的 人 ， 对 上 面 这 张 图 都 不 会 陌 生 。 特 别 是 在 注 册 新 账 号 、 确 认 交 易 时 ， 它 们 都 会 频 繁 出 现 ， 要 求 我 们 常 在 网 上 晃 悠 的 人 ， 对 上 面 这 张 图 都 不 会 陌 生 。 特 别 是 在 注 册 新 账 号 、 确 认 交 易 时 ， 它 们 都 会 频 繁 出 现 ， 要 求 我 们 输 入 正 确 的 验 证 码 ， 那 这 些 看 上 去 跟 我 们 要 做 的 事 情 完 全 无 关 的 验 证 码 到 底 有 何 作 用 呢 ？ 输 入 正 确 的 验 证 码 ， 那 这 些 看 上 去 跟 我 们 要 做 的 事 情 完 全 无 关 的 验 证 码 到 底 有 何 作 用 呢 ？ 0 x 1 诞 生 诞 生 首 先 ， 先 介 绍 下 验 证 码 程 序 的 提 出 者 ， 路 易 斯 · 冯 · 安 ( L u i s   v o n   A h n ) 。 2 0 0 2 年 ， 路 易 斯 和 他 的 小 伙 伴 在 卡 内 基 梅 隆 第 一 次 提 出 了 C A P T C H A ( 验 证 码 ) 这 样 一 个 程 序 概 念 。 该 程 序 是 指 ， 向 请 求 的 发 起 方 提 出 问 题 ， 能 正 确 回 答 的 即 是 人 类 ， 反 之 则 为 机 器 。 这 个 程 序 基 于 这 样 一 个 重 要 假 设 ： 提 出 的 问 题 要 容 易 被 人 类 解 答 ， 并 且 让 机 器 无 法 解 答 。 在 当 时 的 条 件 下 ， 识 别 扭 曲 的 图 形 ， 对 于 机 器 来 说 还 是 一 个 很 艰 难 的 任 务 ， 而 对 于 人 来 说 ， 则 相 对 可 以 接 受 。 y a h o o 在 当 时 第 一 个 应 用 了 图 形 化 验 证 码 这 个 产 品 ， 很 快 解 决 了 y a h o o 邮 箱 上 的 垃 圾 邮 件 问 题 ， 因 此 图 形 类 验 证 码 开 始 了 大 发 展 时 期 。 0 x 2 发 展 与 问 题 发 展 与 问 题 图 形 化 验 证 码 在 被 证 明 有 效 后 ， 在 互 联 网 上 迅 速 得 到 了 推 广 。 国 内 外 各 大 网 站 ， 在 关 键 的 业 务 点 上 都 加 入 了 这 一 类 型 的 验 证 码 。 首 先 ， 由 于 开 发 者 水 平 的 良 莠 不 齐 ， 导 致 验 证 码 本 身 的 实 现 存 在 问 题 ， 从 而 导 致 漏 洞 可 以 绕 过 ， 常 见 的 有 以 下 几 种 类 型 ： [ 1 ]   验 证 码 的 生 成 逻 辑 、 答 案 用 户 可 见 如 将 验 证 码 答 案 输 出 到 页 面 中 、 写 在 c o o k i e 里 。 打 比 方 就 是 说 ， 在 发 卷 的 时 候 ， 把 答 案 写 在 了 卷 子 背 面 。 ( 老 师 再 也 不 用 担 心 我 的 成 绩 ) [ 2 ]   验 证 码 的 生 命 周 期 未 控 制 好 如 验 证 码 可 以 重 复 使 用 、 不 设 超 时 。 验 证 一 次 ， 永 久 使 用 。 [ 3 ]   业 务 逻 辑 与 验 证 码 结 合 点 存 在 问 题 如 修 改 业 务 参 数 可 导 致 不 用 校 验 验 证 码 也 可 通 过 、 甚 至 验 证 码 就 是 摆 设 。 结 合 到 具 体 的 业 务 点 上 有 什 么 危 害 呢 ？ a .   验 证 码 写 在 验 证 码 写 在 c o o k i e 中 。 此 处 可 导 致 旅 客 信 息 泄 露 。 中 。 此 处 可 导 致 旅 客 信 息 泄 露 。 ​ b .   验 证 码 与 图 片 存 在 对 应 关 系 ， 因 此 直 接 访 问 验 证 码 与 图 片 存 在 对 应 关 系 ， 因 此 直 接 访 问 h t m l 即 可 得 到 答 案 。 此 处 可 导 致 撞 库 与 暴 力 破 解 密 码 。 即 可 得 到 答 案 。 此 处 可 导 致 撞 库 与 暴 力 破 解 密 码 。
​ （ 上 述 两 例 转 自 乌 云 ） 0 x 3 图 片 验 证 码 对 抗 与 攻 击 升 级 图 片 验 证 码 对 抗 与 攻 击 升 级 在 开 篇 我 们 提 到 了 一 个 重 要 的 假 设 ： C A P T C H A 提 出 的 问 题 要 容 易 被 人 类 解 答 ， 并 且 让 机 器 无 法 解 答 。 实 际 上 ， C A P T C H A 所 要 处 理 的 问 题 是 ： 将 普 通 人 与 恶 意 的 用 户 （ 黑 客 、 垃 圾 消 息 发 送 者 ） 区 分 开 来 。 那 当 时 间 点 到 达 2 0 1 6 年 时 ， 黑 客 们 与 普 通 用 户 之 间 的 差 距 已 经 很 大 了 （ 想 象 下 中 国 足 球 队 对 巴 西 足 球 队 ， 而 且 此 时 留 给 中 国 队 的 时 间 已 经 不 多 了 ） 。 因 此 ， C A P T C H A 在 图 片 验 证 码 这 一 应 用 点 上 已 经 无 法 满 足 这 一 假 设 了 。 在 这 段 时 间 内 ， 出 现 了 很 多 的 加 强 和 识 别 图 形 验 证 码 的 方 法 （ 每 一 种 方 法 的 详 细 原 理 和 解 释 ， 可 以 参 见 w o o y u n   d r o p s ， 在 此 不 做 详 述 ） ： ​ 附 上 部 分 名 词 解 释 ：
​ 如 上 图 所 示 ， 原 始 的 图 像 使 用 了 字 体 旋 转 、 背 景 色 混 淆 等 手 段 ， 在 专 业 的 验 证 码 工 具 面 前 ， 也 就 是 几 个 命 令 拼 接 即 可 完 成 识 别 ​ 如 上 图 所 示 ， 是 一 个 验 证 码 识 别 软 件 自 建 字 库 的 过 程 ， 通 过 回 车 确 认 验 证 码 识 别 正 确 ， 如 有 错 误 ， 稍 带 修 改 继 续 。 当 保 存 了 上 千 个 正 确 识 别 的 字 库 后 ， 该 程 序 便 可 达 到 一 个 可 用 的 可 用 的 准 确 率 。 （ 其 实 若 不 不 做 其 他 限 制 ， 此 时 准 确 率 在 3 0 % 以 上 时 ， 即 可 造 成 很 大 的 危 害 ， 毕 竟 对 于 攻 击 者 来 说 ， 发 3 个 包 与 发 1 个 包 的 成 本 差 别 不 大 ） 看 到 这 里 ， 客 户 们 大 概 可 以 回 答 这 个 问 题 了 ： 为 什 么 我 用 了 验 证 码 还 是 会 被 刷 ？ 那 普 通 验 证 码 难 道 没 用 了 吗 ？ 那 倒 也 不 是 ， 安 全 是 一 个 博 弈 的 过 程 。 综 合 使 用 之 前 提 到 的 验 证 码 技 术 ( 特 别 是 字 体 粘 连 等 ) ， 并 且 保 持 关 注 和 变 化 ， 攻 击 者 的 识 别 率 也 比 较 低 。 当 攻 击 的 成 本 大 于 可 获 得 的 利 益 时 ， 自 然 就 没 人 来 攻 击 了 。 （ 普 通 用 户 在 此 应 强 烈 要 求 存 在 感 ） 此 时 ， 虽 然 两 方 大 小 上 略 有 差 距 ， 但 是 总 体 战 斗 力 还 算 是 勉 强 打 个 平 手 ， 互 相 出 招 而 已 。 只 是 随 着 战 火 的 升 级 ， 个 人 轮 番 上 阵 后 ， 验 证 码 已 经 违 背 了 他 最 初 设 计 时 的 初 衷 ： 对 普 通 用 户 的 友 好 性 逐 渐 消 失 。 而 普 通 用 户 的 体 验 也 就 成 了 这 场 战 争 中 的 牺 牲 品 ， 这 也 就 造 就 了 一 批 有 一 批 被 用 户 吐 槽 的 无 法 辨 认 的 验 证 码 。
​ ​ ​ ​ 正 当 普 通 用 户 们 不 断 吐 槽 的 时 候 ， 程 序 员 表 示 这 个 锅 不 想 背 但 是 也 得 背 。 因 为 业 务 总 是 要 做 的 ， 而 攻 击 者 们 也 是 要 吃 饭 的 ， 升 级 了 验 证 码 的 成 本 ， 也 就 限 制 了 风 险 的 等 级 ， 于 是 就 变 成 了 这 样 一 个 模 式 ╮ ( ╯ _ ╰ ) ╭ ： 程 序 员 : 熬 一 晚 上 升 级 攻 击 者 : 熬 一 晚 上 破 解 程 序 员 : 熬 两 晚 上 升 级 攻 击 者 : 熬 两 晚 上 破 解 . . . . ( 心 疼 ) . . . 大 家 就 在 这 种 你 方 唱 罢 我 登 台 的 情 况 下 看 似 和 睦 的 度 过 了 一 段 时 间 。 0 x 4   图 片 验 证 码 的 没 落 图 片 验 证 码 的 没 落 在 日 日 夜 夜 的 对 抗 中 ， 攻 击 者 想 到 了 一 个 办 法 ， 可 以 一 劳 永 逸 的 解 决 图 片 验 证 码 的 问 题 。 在 我 对 这 些 搞 灰 产 的 人 们 表 示 憧 憬 之 前 ， 先 说 点 题 外 话 。 2 0 0 9 年 ， g o o g l e 买 下 了 C M U 的 一 个 项 目 : r e c a p t c h a 。 这 个 项 目 是 C A P T C H A 的 进 阶 版 本 。 它 所 基 于 的 假 设 与 C A P T C H A 一 致 ， 但 是 它 同 时 让 用 户 识 别 两 张 图 片 ， 一 张 用 于 验 证 用 户 身 份 ， 而 另 一 张 用 于 帮 助 难 以 用 机 器 识 别 的 电 子 文 档 。 ​ 恩 ， 如 果 读 者 有 从 事 此 类 灰 产 相 关 工 作 的 人 ， 请 注 意 r e c a p t c h a 右 下 角 的 小 字 （ 看 看 这 情 怀 ） 。 而 r e c a p t c h a 的 作 者 ， 当 然 又 是 : 路 易 斯 · 冯 · 安 。 在 r e c a p t c h a 的 基 础 上 ， 路 易 斯 进 一 步 提 出 了 一 个 概 念 : 人 类 计 算 ( H u m a n C o m p u t a t i o n )   。 s t o p   s p a m . r e a d   b o o k s
简 单 来 说 ， 他 希 望 借 由 计 算 机 和 网 络 平 台 ， 发 挥 人 类 技 能 ， 去 解 决 大 规 模 、 复 杂 的 问 题 ， 具 体 到 r e c a p t c h a 项 目 来 说 ， 就 是 借 助 大 家 的 力 量 去 帮 助 数 字 化 书 籍 。 （ 该 思 想 的 具 体 应 用 还 包 括 一 个 叫 E S P   G A M E 的 游 戏 以 及 后 面 会 提 到 的 n o   r e c a p t c h a ） 但 是 ， 在 2 0 0 4 年 （ 我 能 搜 到 这 个 新 闻 的 最 早 时 间 ） ， 就 有 人 已 经 完 美 的 实 现 了 这 个 概 念 : 人 工 打 码 ， 并 且 起 源 地 : 中 国 （ 此 处 我 应 该 感 到 自 豪 吗 ） 。 ​ 所 谓 的 人 工 打 码 就 是 ， 将 验 证 码 的 请 求 转 发 给 某 平 台 ， 该 平 台 会 将 这 个 信 息 发 送 给 平 台 上 的 打 码 工 ， 然 后 打 码 工 人 识 别 后 ， 将 答 案 反 送 回 请 求 者 。 通 过 打 码 平 台 的 a p i ， 攻 击 者 可 以 写 程 序 实 现 对 目 标 的 自 动 化 操 作 ， 而 验 证 码 的 部 分 只 要 交 给 打 码 平 台 就 可 以 了 。 ​ 打 码 平 台 在 国 内 市 场 上 的 火 爆 ， 有 几 个 原 因 : [ 1 ] .   从 2 0 0 6 年 开 始 ， 国 内 互 联 网 的 迅 猛 发 展 ， 使 得 流 量 变 现 成 为 了 可 能 。 各 种 邮 件 营 销 、 S E O 、 I M 工 具 等 都 迫 切 的 需 要 稳 定 的 可 以 绕 过 图 形 验 证 码 的 方 法 。 而 近 些 年 兴 起 的 基 于 数 据 的 诈 骗 、 账 号 盗 取 等 更 进 一 步 加 剧 了 这 个 趋 势 。 [ 2 ] .   打 码 平 台 的 爆 发 式 发 展 也 同 时 得 益 于 中 国 经 济 蓬 勃 发 展 的 原 因 之 一 ： 人 口 多 并 且 人 力 成 本 低 。 网 络 上 一 种 常 见 的 网 赚 模 式 ， 就 是 打 码 工 模 式 ， 一 个 只 要 会 上 网 ， 能 识 别 验 证 码 的 人 就 可 以 参 与 。 P S : 难 道 你 没 有 看 见 过 下 面 这 些 广 告 吗 ？ 大 学
生 、 大 妈 ， 无 需 学 历 ， 只 要 会 上 网 、 会 打 字 ， 一 天 包 赚 X X X X X 。 当 然 其 中 除 了 打 码 平 台 ， 还 有 很 多 骗 子 。 可 以 打 码 的 类 型 包 括 ： 1 .   普 通 字 母 验 证 码 2 .   中 文 验 证 码 3 .   鼠 标 类 型 类 验 证 码 4 .   选 择 题 类 型 ( 比 如 某 些 网 游 中 做 任 何 会 遇 到 的 验 证 码 ) 5 .   旋 转 类 验 证 码 6 .   知 识 常 识 问 答 型 验 证 码 以 上 验 证 码 的 价 格 在 平 台 上 都 是 明 码 标 价 ， 普 通 的 字 母 验 证 码 1 条 在 1 分 钱 左 右 ， 而 知 识 问 答 类 在 6 分 钱 左 右 ， 相 较 于 利 用 这 些 灰 产 所 会 产 生 的 利 益 ， 真 是 件 美 物 廉 ， 重 点 是 还 非 常 稳 定 。 同 时 我 注 意 到 国 外 的 价 格 现 在 与 国 内 的 价 格 已 经 相 差 不 大 ， 现 在 美 国 的 价 钱 约 为 $ 1 . 5 / 1 0 0 0 ， 美 国 的 打 码 工 已 经 向 东 南 亚 扩 展 。 打 码 平 台 一 出 现 ， 2 . 2 中 提 到 的 加 强 验 证 码 的 方 法 都 无 用 了 。 因 为 不 管 你 怎 么 变 化 ， 验 证 码 总 需 要 是 人 类 能 够 通 过 的 。 0 x 5   新 的 征 程 新 的 征 程 打 码 平 台 的 出 现 ， 虽 然 没 有 从 理 论 上 打 破 C A P T C H A 的 原 则 ， 但 是 也 从 事 实 上 击 破 了 防 止 程 序 自 动 提 交 的 防 御 ， 因 此 我 们 需 要 新 型 的 安 全 的 验 证 方 式 。 这 些 探 索 也 带 来 了 现 在 各 种 多 样 的 验 证 码 形 式 ， 这 些 我 们 将 在 下 篇 探 讨 。 最 后 用 一 个 “ 富 有 情 怀 ” 的 图 片 结 束 。
​ 这 张 图 不 是 来 自 改 变 世 界 的 极 客 ， 也 不 是 来 自 富 有 爱 心 的 艺 术 家 。 它 来 自 某 知 名 打 码 平 台 的 官 网 ， 是 不 是 太 有 情 怀 了 ？ （ 你 们 的 确 改 变 了 我 们 的 工 作 方 式 ） 面 对 这 样 的 情 怀 ， 我 想 我 现 在 只 能 做 一 件 事 情 。 *   作 者 / b b d o g （ 阿 里 安 全 研 究 实 验 室 ） ， 转 载 请 注 明 来 自 F r e e B u f . C O M （ 黑 客 与 极 客 ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理