Каптчу: Каптчи. Способы взлома и защиты / Хабр

Содержание

Каптчи. Способы взлома и защиты / Хабр

Кросс-пост из нашего блога, посвященному компьютерной безопасности

Ранее мы писали о уязвимостях каптч на сайтах компании Киевстар и Билайн. Теперь мы хотим, вашему вниманию предоставить наше исследование в области взломов и защиты каптч.

# Теория каптч

В 1950 году Алан Тьюринг написал статью «Вычислительные машины и разум», которая была опубликованная в философском журнале «Mind». В статье речь шла о неком тесте, который может различить человека от компьютера. Мы не будем описывать подробности о тесте, вы сами это сможете почитать на Википедии

Так вот, каптча — это одна из реализаций теста Тьюринга, которая используется для того, что бы определить пользователя системы: человек он, или компьютер. Иными словами, каптча защищает сайт от спам-ботов, которые оставляют сообщения в гостевых книгах, в комментариях и т.д.

Реализаций каптч — тысячи. В основном, каптчи представляют собой некое изображение с текстом, который и нужно определить человеку. Вот несколько примеров современных каптч:

# Уязвимости каптч

Сразу ответим на вопрос: Зачем пытаются найти уязвимости в каптчах? Самая основная цель — спам. А там где спам — реклама. А реклама — деньги. Спамеры пишут программное обеспечение, например, которое массово рекламирует их клиентов на форумах(оставляя посты и приватные сообщения), в гостевых книгах, mail-гейтах и других сервисах. Они пишут программных ботов, которые имитируют действия человека. Для того, что бы предотвратить массовые сообщения, разработчики программного обеспечения используют каптчу. Это может быть open-source решение, или же «свое» или индивидуальное решение. Используя любое из этих решений, программисты могут допускать ошибки. Это зависит от опытности программиста, но не всегда. Бывает каптча грамотно сделана, но присутствуют ошибки в настройке серверного программного обеспечения или же другие факторы.

Теперь рассмотрим несколько методов, c помощью которых можно обойти каптчу:

1.

Ошибки программиста

Самая распространенная ошибка в реализации каптчи — так это её техническая реализация. Программист может упустить тонкие моменты в обработке результата. Например, текст каптчи может передаваться в сессии, или имя файла-изображения — и есть тот текст. Например, http://markitup.com/Captcha.ashx?txt=G-SG (PageRank этого сайта равен 5-ти)

2. Оптическое распознавание символов

Оптическое распознавание символов (OCR) — электронная конвертация изображений символов и букв в текст, редактируемый на компьютере.

Самое простое OCR — эталонное. Заключается в самом обычном эталонном сравнении цифр(букв) на изображении.

Уязвимость такого рода очень редко встречается. Но попадается и на крупных сайтах. Пример тому — уязвимость каптчи на сайте Билайна.

3. Плохая идея

Суть метода: используется очень хорошая реализация каптчи( с использованием шума и т.п.), но к примеру, это цифирная или буквенная каптча из трёх знаков. В таком случае можно реальным брутфорсом подбирать ответ. Этот метод довольно эффективный, когда применяется нейро-сеть — она же бот-сеть, машин тупых зомби, которые пытаются угадать изображение.

4.Человеческий разум

Этот метод заключается в том, что за определение каптч платят деньги людям. Например, есть очень много отечественных сервисов, которые платят до 0.1$ за определение одной каптчи. Это реальная угроза, потому что противостоять этому тяжело.На этом методе построена целая индустрия.

# Защита каптч

Существует очень много разных вариантов реализации каптч. Мы не будем описывать эти способы, но мы акцентируем ваше внимание на готовых решениях и нескольких советах.

При разработке каптчи нужно в первую очередь делать упор не на красоту, а сложность для автоматизированных ботов. Примером этому может быть каптча, используемая компанией Google и Bigmir-Internet в своих проектах.

Безопасные каптчи нужно очень тщательно продумать. Обязательно использовать разного рода искажения текста(для картинок с циферками и текстом), качественную обработку на стороне сервера.

Также мы хотим вам предложить использовать готовые безопасные решения для организации каптчи на вашем веб-сайте, блоге и сервисе. Одно из таких — reCaptcha. Это уже довольно не новая технология каптч, основанная по клиент-серверным технологиям.
Пример:

Довольно сложная для обхода капчта, и легкая для пользователя. Пользователю предлагается ввести два слова( или набор цыфр). Вводимые значение по специальному API пересылаются на сервер reCaptcha, где проверяются и вашему обрабатываемому скрипту отправляют ответ: правильный ввод, или не правильный.
Очень легко встраивается reCaptcha в популярные движки блогов, сайтов. А также есть библиотеки для разных языков программирования.

# Заключение

На сегодняшний день существует большое количество видов каптч. Реализовывая тест Тьюринга в какой-либо форме мы не можем быть уверены в его надежности. Потому нужно использовать или готовые решения или же пользоваться услугами специалистов по безопасности, которые смогут проанализировать вашу реализацию и дать оценку безопасности.

Авторы: Черныш Вадим и Рыбалко Дмитрий, Glaive Security Group

Как решить каптчу aliexpress слайд

Your browser does not seem to support JavaScript. As a result, your viewing experience will be diminished, and you may not be able to execute some actions.

Please download a browser that supports JavaScript, or enable it if it’s disabled (i.e. NoScript).

Home
BrowserAutomationStudio
Поддержка
org/Breadcrumb»> Как решить каптчу aliexpress слайд

This topic has been deleted. Only users with topic management privileges can see it.

когда я отправляю запрос на https://m.aliexpress.ru/api/order/place (один из главных запросов) тогда оно просит каптчу(слайд) где нужно провести от левого до правого конца но вот я я не понимаю как это сделать на запросах я пытался но в итоге сервер отвечает кодом 300 и не дает доступ к серверу:(
найти такую же каптчу можно здесь https://m.aliexpress.ru/api/order/place
org/Comment»>
@kpgvm said in Как решить каптчу aliexpress слайд:
когда я отправляю запрос на https://m.aliexpress.ru/api/order/place (один из главных запросов) тогда оно просит каптчу(слайд) где нужно провести от левого до правого конца но вот я я не понимаю как это сделать на запросах я пытался но в итоге сервер отвечает кодом 300 и не дает доступ к серверу:(
найти такую же каптчу можно здесь https://m.aliexpress.ru/api/order/place
https://community.bablosoft.com/topic/5835/решаем-captchapuzzle
@Fox это не то а эта каптча именно
китайская (я знаю что в таобао такая же) и никакие сервисы её не решают
org/Comment»>
@kpgvm said in Как решить каптчу aliexpress слайд:
@Fox это не то а эта каптча именно китайская (я знаю что в таобао такая же) и никакие сервисы её не решают
Вы бы приложили скриншот, стало бы понятнее
@Fox
@kpgvm said in Как решить каптчу aliexpress слайд:
Если её нужно перетянуть от начала до конца, то можете использовать действия «Начать Перетаскивание На Элементе» и «Закончить Перетаскивание На Элементе«
org/Comment»>

@Fox ключевое это «на запросах» ))
@UserTrue said in Как решить каптчу aliexpress слайд:
@Fox ключевое это «на запросах» ))
Аааа :D
@Fox я делаю не на браузере а на запросах (похоже вы плохо прочитали тему)
org/Comment»>
@kpgvm said in Как решить каптчу aliexpress слайд:
@Fox я делаю не на браузере а на запросах (похоже вы плохо прочитали тему)
Вам придется самому искать решение, на форуме его нет, хотя уже были такие вопросы.
@UserTrue ладно но думал что может быть кто-то знает ведь похожие программы есть но я лично не знаю как у них это реализовано и в гугле также нету
@kpgvm said in Как решить каптчу aliexpress слайд:
@UserTrue ладно но думал что может быть кто-то знает ведь похожие программы есть но я лично не знаю как у них это реализовано и в гугле также нету
Может кто-то и знает, но таким тут особо не делятся.

Loading More Posts

12
Posts

175
Views

4

0
Votes

4
Posts

585
Views
3

0
Votes

3
Posts

163
Views
2

0
Votes

2
Posts

608
Views
3

0
Votes

3
Posts

94
Views
8

0
Votes

8
Posts

132
Views
3

0
Votes

3
Posts

190
Views
1

0
Votes

1
Posts

39
Views
2

0
Votes

2
Posts

131
Views

Как добавить CAPTCHA в WordPress и не допустить спамеров на свой сайт

Нет сомнений в том, что безопасность WordPress важна. В конце концов, нарушение может привести к серьезному повреждению вашего сайта. Однако, когда хакеры используют ботов для быстрого и эффективного нападения на веб-сайты, может показаться, что шансы против вас.

К счастью, есть очень простой инструмент, который можно использовать для защиты вашего сайта WordPress от ботов и спамеров. Внедрение полностью автоматизированного теста Тьюринга для определения различий между компьютерами и людьми (CAPTCHA) — это простой и не требующий больших усилий способ повысить безопасность вашего веб-сайта.

Это руководство познакомит вас с CAPTCHA и их ролью в защите вашего сайта от хакеров и спама. Затем мы расскажем, как добавить их на свой сайт, и представим некоторые из лучших плагинов WordPress CAPTCHA.

Начнем!

Понимание CAPTCHA

Вероятно, вы много раз видели CAPTCHA в Интернете. Они могут принимать различные формы, одна из наиболее распространенных — это искаженный текст, который вам предстоит расшифровать. Другие требуют, чтобы вы выбрали изображения, соответствующие определенным требованиям, из группы фотографий с низким разрешением:

Пример изображения CAPTCHA

Во всех случаях представленная задача является такой, которую большинство людей должно легко решить. Однако даже современные продвинутые боты не способны разобраться в искаженных словах или фрагментах изображений. Когда они не могут пройти тест, их блокируют на вашем сайте (или что-то еще, что защищает CAPTCHA).

Это важно, потому что боты используются во многих ситуациях, которые могут поставить под угрозу безопасность и надежность вашего веб-сайта. Атаки с использованием грубой силы – одна из наиболее распространенных стратегий взлома – используют ботов для многократного ввода учетных данных в вашу форму входа, пока они не получат доступ к вашему сайту.

Межсайтовый скриптинг (XSS) — это еще один тип кибератаки, при которой хакеры внедряют вредоносный код на ваш сайт через форму, например страницу входа или раздел комментариев. Это может привести к хранению вредоносных программ на вашем сайте, краже информации и другим негативным последствиям.

Боты также могут использоваться для рассылки спама в разделе комментариев с некачественными ссылками, которые наносят ущерб вашей поисковой оптимизации (SEO) и отпугивают законных пользователей. Спам раздражает, но, что более важно, из-за него ваш сайт выглядит незащищенным и плохо отслеживаемым.

Любое место на вашем сайте, где пользователи могут вводить информацию — другими словами, в любой форме — уязвимо для атак ботов. Требование CAPTCHA перед отправкой формы не позволяет посторонним лицам успешно получить доступ к вашему сайту или внедрить в него вредоносный код.

Что такое Google reCAPTCHA?

Несмотря на то, что CAPTCHA явно предоставляет множество преимуществ и средств защиты для вашего сайта, у них есть несколько недостатков. Например, они, как правило, негативно влияют на пользовательский опыт (UX). Замедляя пользователей, эти простые тесты мешают посетителям плавно и быстро достигать своих целей на вашем сайте.

Кроме того, пользователи с нарушениями зрения или другими проблемами, такими как дислексия, могут столкнуться с трудностями при вводе CAPTCHA. Непреднамеренное отстранение пользователей от вашего сайта не принесет пользы ни вам, ни им, даже если это отклонит ботов в процессе.

В 2014 году Google выпустила тест No CAPTCHA reCAPTCHA, преемник тестов искаженных слов и изображений, которые он использовал с 2007 года. Новая система просто требует, чтобы пользователи установили флажок рядом со словами «Я не робот». для подтверждения их легитимности:

Флажок Google reCAPTCHA на странице входа в WordPress

Это намного проще и быстрее, чем более традиционные CAPTCHA, и доступно для более широкого круга пользователей. Более того, Google продолжает совершенствовать эту технологию. В 2018 году он также выпустил так называемую «невидимую капчу», которая может обнаруживать ботов, не требуя каких-либо преднамеренных действий со стороны пользователей.

При добавлении CAPTCHA на ваш сайт WordPress у вас будет возможность выбрать, какой тип теста использовать. Однако имейте в виду, что внедрение Google reCAPTCHA v2 или v3 должно помочь сделать ваш сайт более приятным и доступным для пользователей.

Как добавить CAPTCHA на ваш сайт WordPress (3 шага)

Когда дело доходит до безопасности WordPress, добавление CAPTCHA — это один из самых простых способов затруднить проникновение ботов на ваш сайт. К счастью, включить его также легко. Вы можете настроить свой всего за три простых шага.

Шаг 1: Установите и активируйте плагин WordPress CAPTCHA

Самый простой способ добавить CAPTCHA на ваш сайт WordPress — с помощью плагина. В каталоге плагинов WordPress есть много высококачественных опций, поэтому вам не придется грабить банк, чтобы повысить безопасность вашего сайта.

Однако, прежде чем выбрать плагин, необходимо рассмотреть несколько ключевых особенностей.

Во-первых, вы хотите учитывать тип CAPTCHA, который предоставляет ваш плагин. Как мы уже обсуждали выше, Google reCAPTCHA гораздо удобнее для пользователя, чем требование от посетителей нажимать на изображения или декодировать искаженный текст.

Кроме того, вы должны убедиться, что ваш плагин может добавлять CAPTCHA в несколько областей вашего сайта, а не только на страницу входа. Мы рассмотрим эту идею более подробно на шаге 3. А пока имейте в виду, что везде, где у вас есть форма на вашем сайте, вы, вероятно, захотите сдерживать ботов с помощью CAPTCHA.

Давайте рассмотрим три плагина, которые соответствуют вышеуказанным критериям. Google Captcha (reCAPTCHA) от BestWebSoft — самый популярный вариант, с более чем 200 000 активных установок:

Плагин Google Captcha

Как следует из названия, этот плагин включает Google reCAPTCHA v2 или v3 на страницах входа и регистрации, при сбросе пароля и контактные формы и даже в комментариях и отзывах на вашем сайте. Это помогает предотвратить спам, а также повышает безопасность.

Advanced noCaptcha & Invisible Captcha также имеет высокие оценки и включает в себя многие из тех же функций:

Плагин Advanced noCaptcha

Этот плагин также обеспечивает совместимость с несколькими сайтами и интегрируется с популярными инструментами членства, такими как bbPress и BuddyPress. Кроме того, при необходимости вы можете добавить несколько CAPTCHA на одну страницу.

Наконец, вы также можете рассмотреть вход без CAPTCHA reCAPTCHA:

Вход без CAPTCHA плагин reCAPTCHA

Этот плагин включает простую Google reCAPTCHA и может использоваться в формах входа, регистрации и забытого пароля. Однако он не интегрируется с вашим разделом комментариев или контактными формами, что делает его немного более ограниченным, чем два других плагина, которые мы рассмотрели.

Шаг 2. Создайте свой Google reCAPTCHA и добавьте его на свой сайт

После того, как вы установили и активировали свой плагин, вам нужно будет создать свой Google reCAPTCHA (при условии, что вы выбрали плагин, который его использует). Перейдите в консоль администратора Google reCAPTCHA и заполните регистрационную форму:

. Подпишитесь на информационный бюллетень

Хотите узнать, как мы увеличили трафик более чем на 1000%?

Присоединяйтесь к более чем 20 000 других людей, которые получают нашу еженедельную рассылку с советами по WordPress, посвященными инсайдерской информации!

Подпишитесь сейчас

Страница регистрации reCAPTCHA

Обратите внимание, что вы сможете выбирать между reCAPTCHA v2 или v3, а также можете использовать флажок или невидимый тест. Последний обеспечит лучший UX, так как не требует никаких действий со стороны пользователя. Однако флажок v2, как правило, более надежен.

Заполнив все поля, нажмите кнопку Отправить . На следующем экране вам будет предоставлен ключ сайта и Секретный ключ :

Получение сайта и секретных ключей для новой Google reCAPTCHA

Вам нужно будет ввести оба значения в настройках плагина CAPTCHA на вашем сайте WordPress. Этот процесс может незначительно отличаться в зависимости от того, какой плагин вы выбрали. Однако вы легко сможете найти настройки на боковой панели панели управления и вставить свои ключи в соответствующие поля:

Добавление ключей Google reCAPTCHA в настройки плагина Google Captcha

Не забудьте сохранить изменения. Вы также можете добавить в закладки свою страницу консоли администратора Google reCAPTCHA и регулярно проверять ее. После того, как ваш сайт посетит достаточное количество живого трафика, вы сможете просматривать ценную аналитику, связанную с запросами на отправку форм.

Шаг 3: Настройте параметры для защиты ключевых областей

Как мы упоминали ранее, есть несколько областей, идеально подходящих для включения вашей CAPTCHA, чтобы обеспечить максимальную защиту вашего сайта. После того, как вы установили выбранный вами плагин, вы можете настроить параметры, чтобы убедиться, что все важные страницы включены.

Google CAPTCHA и Advanced No Captcha включают список флажков в своих общих настройках. Там вы можете выбрать, где вы хотите использовать свои reCAPTCHA:

Выбор мест, где будет отображаться Google reCAPTCHA

В идеале это будет включать все формы, которые есть на вашем сайте, включая уязвимые области, такие как ваша:

Страница входа администратора WordPress
Страница входа WooCommerce
Регистрационная форма пользователя
Форма восстановления пароля
Контактная форма

Ваш сайт может включать другие уникальные формы, такие как отправка пользовательского контента, опросы или подписка по электронной почте. В таких случаях вы можете использовать Advanced noCaptcha и Invisible Captcha, так как этот плагин предоставляет хуки действий для включения Google reCAPTCHA в любой форме.

В качестве альтернативы вы можете инвестировать в Google Captcha (reCAPTCHA) Pro Pro. Он обеспечивает дополнительную интеграцию с популярными плагинами, такими как Jetpack, MailChimp для WordPress и несколькими конструкторами форм.

Добавление CAPTCHA на вашу страницу входа

Ваша страница входа является главной целью для атак с использованием грубой силы и межсайтового скриптинга (XSS).

Чтобы добавить к нему CAPTCHA с помощью плагина Google Captcha, перейдите к Google Captcha> Настройки> Общие> Включить reCAPTCHA для в WordPress и выберите Форма входа под WordPress по умолчанию :

Параметр формы входа плагин Google Captcha

Теперь ваша страница входа должна быть защищена.

Добавление CAPTCHA на страницу сброса пароля

Когда их попытки войти на ваш сайт терпят неудачу, хакеры могут быть перенаправлены на страницу, где пользователи могут сбросить свои пароли. Чтобы добавить CAPTCHA для защиты этой страницы, перейдите к Google Captcha> Настройки> Общие> Включить reCAPTCHA для на панели управления WordPress:

Параметр формы «Сброс пароля» в плагине Google Captcha

Затем выберите Форма сброса пароля из списка WordPress по умолчанию .

Защита вашей страницы входа в WooCommerce с помощью CAPTCHA

Ваша страница входа в WooCommerce так же подвержена вредоносным атакам, как и основная страница WordPress. Чтобы защитить его с помощью Google Captcha, вам понадобится премиум-версия плагина (ниже выделено желтым цветом). Когда будете готовы, идите на Google Captcha > Настройки > Общие > Включить reCAPTCHA для на панели инструментов WordPress:

Параметр (премиум) формы входа в WooCommerce

Здесь вы сможете выбрать Форма входа в WooCommerce из списка Внешние плагины .

Размещение CAPTCHA в вашей контактной форме

Ваша контактная форма может быть защищена с помощью CAPTCHA так же, как и другие, которые мы обсуждали в этой статье. Однако существует несколько различных плагинов контактных форм, которые интегрируются с Google CAPTCHA, в том числе:

Контактная форма 7
Контактная форма Jetpack
Формы ниндзя

Чтобы добавить CAPTCHA в контактную форму, на вашем сайте должен быть активен один из перечисленных выше инструментов. Затем перейдите в Google Captcha > Настройки > Общие > Включить reCAPTCHA для и установите флажок для нужного плагина:

Параметры бесплатной и платной контактной формы в плагине Google Captcha

Это завершит процесс. Если на вашем сайте WordPress используется другой плагин контактной формы, вы можете рассмотреть возможность использования другого плагина CAPTCHA, который интегрируется с ним. Есть также некоторые плагины для создания форм, которые сами по себе включают CAPTCHA, например WPForms.

Хотите защитить свой сайт #WordPress от спамеров и ботов? Узнайте, как добавить CAPTCHA во все ваши контакты и формы входа! 🗝✅Нажмите, чтобы твитнуть

Резюме

Предотвращение проникновения вредоносных ботов на ваш сайт жизненно важно, если вы хотите защитить свой контент, своих пользователей и репутацию своего бренда. Один из самых простых способов замедлить их — добавить CAPTCHA в формы вашего сайта WordPress.

Для добавления CAPTCHA на ваш сайт WordPress требуется всего три шага:

Установите и активируйте плагин WordPress CAPTCHA.
Создайте свою Google reCAPTCHA и добавьте ее на свой сайт.
Настройте параметры для защиты ключевых областей.

У вас есть вопросы о CAPTCHA или о том, как их использовать в WordPress? Дайте нам знать в разделе комментариев!

Экономьте время, затраты и повышайте производительность сайта с помощью:

Мгновенная помощь от экспертов по хостингу WordPress, круглосуточно и без выходных.
Интеграция с Cloudflare Enterprise.
Глобальный охват аудитории благодаря 35 центрам обработки данных по всему миру.
Оптимизация с помощью нашего встроенного мониторинга производительности приложений.

Все это и многое другое в одном плане без долгосрочных контрактов, сопровождаемой миграции и 30-дневной гарантии возврата денег. Ознакомьтесь с нашими планами или поговорите с отделом продаж, чтобы найти план, который подходит именно вам.

Устранение неполадок: CAPTCHA — поддержка JSTOR

Обновлено
27 июня 2022 16:25

Что в этой статье:

Почему мы используем CAPTCHA
Что делать, если вы не видите CAPTCHA
- Свяжитесь с нами
- Очистить кеш и файлы cookie
- Обновите браузер
- Отключить блокировщики рекламы
- Включить Javascript
- Изменить настройки брандмауэра или прокси-сервера
Доступна ли CAPTCHA?

Почему вы требуете CAPTCHA?

В JSTOR мы постоянно вносим изменения в платформу, чтобы улучшить функции, повысить производительность и лучше понять поведение и потребности наших пользователей. Периодическое использование CAPTCHA — это способ борьбы с роботизированной активностью и чрезмерной загрузкой.

Что делать, если вы не видите CAPTCHA

Если вы пытаетесь зарегистрировать отдельную учетную запись, вам может быть предложено ввести CAPTCHA до того, как ваша учетная запись будет заполнена. Но некоторые программы, настройки вашего компьютера или даже подключение к Интернету могут препятствовать правильному отображению или функционированию CAPTCHA.

В этом случае свяжитесь с нами по номеру , чтобы мы могли создать для вас учетную запись.

Но если вам нужна помощь прямо сейчас, попробуйте несколько из приведенных ниже решений.

Очистите кеш и файлы cookie

Хорошим первым шагом является очистка кеша и удаление файлов cookie. На нашей странице поддержки по очистке кэша и файлов cookie вы узнаете, как это сделать в Chrome, Firefox, Internet Explorer и Safari.

Убедитесь, что ваш браузер обновлен

Старые версии браузеров могут мешать правильной загрузке CAPTCHA, а также могут вызывать другие проблемы при использовании сайта JSTOR. Убедитесь, что используемый вами браузер обновлен до последней версии и совместим с JSTOR.

Отключить блокировщики рекламы

Блокировщики рекламы могут мешать проверке CAPTCHA. Вы можете отключить блокировщик рекламы для JSTOR, не отключая блокировщик рекламы для других сайтов. Чтобы отключить блокировщики рекламы, вы можете зайти в настройки своего блокировщика рекламы и «белый список» или «разрешить рекламу» для jstor.org, но не забудьте проверить сайт поддержки вашего блокировщика рекламы для получения дополнительных инструкций.

Включить Javascript

Программное обеспечение, блокирующее Javascript (такое как NoScript и JS Blocker), также может иногда препятствовать нормальной работе CAPTCHA. Откройте программное обеспечение, блокирующее Javascript, и выберите в меню «Разрешить jstor.org», чтобы внести в белый список все jstor.org.

Изменение настроек брандмауэра и прокси-сервера

Другими виновниками могут быть настройки вашего брандмауэра или прокси-сервера, которые обычно устанавливаются ИТ-отделом библиотеки вашего учреждения.

Каптчу: Каптчи. Способы взлома и защиты / Хабр