Qaptcha – 它有效吗？
在这里查看JQuery Qaptcha的演示 – http://www.myjqueryplugins.com/QapTcha/demo
它需要你滑动滑块解锁并certificate你是人。 我已经阅读了所有关于它如何设置随机字段值并删除它们的信息，但这不是通过javascript调用完成的吗？ 如果是这样，那么机器人不需要运行javascript方法然后qaptcha被破坏了吗？
帮助我理解这是如何安全的……
不幸的是，这似乎不是一个安全的validation码。
在这篇文章的最后是一些可以绕过它的示例代码。 我编写这个脚本时没有看任何源代码（php或javascript）。 我只是嗅了几个HTTP请求，看到它正在做什么并试图模仿它。 我现在看了他们的JS代码，但仍然不是PHP，所以即使没有看到任何源代码，也可以绕过它。
我根据成功和失败快速猜测它是如何工作的：
- 您在其页面上加载表单，创建的PHP会话可能没有数据。
- 加载JS脚本，生成qaptcha_key并将其附加到表单。
- 此密钥由JavaScript创建，并且尚未存储在服务器上。
- 你将滑块向右移动，jQuery通过Ajax将“qaptcha_key”发布到PHP，然后将密钥存储在会话中（密钥不是秘密）。
- 如果移动滑块，则提交包含之前通过Ajax发送的qaptcha_key的表单。
- 如果会话中存在匹配的qaptcha_key（从移动滑块），则表单被认为是有效的。 如果没有这样的键，则它们假设您没有移动滑块（或者已禁用JS），并且由于会话不包含qaptcha_key，因此表单无效。
它可以更安全吗？ 在我看来并不容易。 为了安全起见，必须将秘密存储在服务器上，并且无法通过对服务器的任何脚本或HTTP请求轻松获取。 也就是说，使用Ajax或HTTP请求（例如下面的示例）仍然可以使用基于某些公共值的Ajax请求进行身份validation。 基本上，validation码解决方案必须存储在服务器上，并由人（希望不是计算机）解释并发送回服务器。
以下是您可以绕过它运行的代码。 基本上，如果你运行它，你会看到：
Form can be submited First Name : A Test Last Name : Of Qaptcha 在结果输出中。 正如您在代码中看到的，我只是一遍又一遍地使用相同的密钥。 密钥是什么并不重要，因为客户端通知服务器密钥，当您提交表单时，Qaptcha只会检查提交的值与表单一起是否与PHP会话中存储的值相匹配。 因此，密钥的值是无关紧要的，您只需在提交表单之前告诉服务器它是什么。
我怀疑垃圾邮件发送者为Qaptcha表单实现广泛使用的旁路并将其集成到蜘蛛中只是时间问题。
概念certificate：
'qaptcha', 'qaptcha_key' => $fake_qaptcha_key); $second = fetch_url('http://demos.myjqueryplugins.com/qaptcha/php/Qaptcha.jquery.php', 'POST', $params); // Now submit the form along with the same qaptcha_key we told the server about in the last step // As long as a form field is submitted that has the same name as the qaptcha_key we just told the server about, the captcha is bypassed $params = array('firstname' => $FIRST_NAME, 'lastname' => $LAST_NAME, $fake_qaptcha_key => '', 'submit' => 'Submit Form'); $third = fetch_url('http://demos.myjqueryplugins.com/qaptcha/', 'POST', $params); // echo the contents so you can see it said form was accepted. echo $third; // basic function that uses curl to fetch a URL with get/post function fetch_url($url, $method = 'GET', $params = array()) { $ch = curl_init($url); curl_setopt($ch, CURLOPT_COOKIEJAR, $GLOBALS['COOKIE_FILE']); curl_setopt($ch, CURLOPT_COOKIEFILE, $GLOBALS['COOKIE_FILE']); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); if ($method == 'POST') { curl_setopt($ch, CURLOPT_POST, 1); curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query($params)); } $return = curl_exec($ch); return $return; }
我希望能为你清楚地回答这个问题。