PHP CAPTCHA SANS SESSION

Pouvez-vous leur accorder un certificat client en réponse à un appel CAPTCHA? Ensuite, une fois qu'ils sélectionnaient ce certificat dans le navigateur, il est envoyé avec chaque appel du client et peut être utilisé pour l'authentification sans sessions et sans autre appel CAPTCHA.

Voici ma prise à elle (Sry si cela semble compliqué):

1. à la page Demande:

   • Vous générez un code de chaîne aléatoire 'ABCDEF';
   • Vous chiffrez le code en utilisant un mot de passe prédéfini: $ crypt = chiffrer ($ captcha_code, "mot de passe")

   • sous la forme:

     • Un lien d'image est envoyé au navigateur 'CAPTCHA.PHP? $ CRYPT'
     • Une entrée cachée est définie avec la valeur de $ crypt

     • La page CAPTCHA.PHP décrypte le texte crypté et génère l'image.

     • L'utilisateur soumet un formulaire avec le code 'ABCDAA' (et l'entrée cachée $ CRYPT)

     • Le serveur vérifie s'il chiffre ('abcdaa') == $ crypt

       EDIT: La fonction de chiffrement doit être réversible (déchiffrer), car le générateur d'images CAPTCHA aura besoin du code d'origine.

Que diriez-vous de cette solution? J'ai trouvé cet article "PHP Captcha sans session" sur Google et j'ai utilisé sur l'un de mes projets, c'est simple, pas de session et c'est gratuit. Toute préoccupation de sécurité sur RC4?

http://www.mythos-rini.com/blog/archives/732

Utilisez le Honeypot technique : Placez un champ de texte avec un nom gourmand, comme« email » , dans un champ caché par CSS (Affichage: Aucun; Visibilité: Cachée;).

Lorsque vous devez assainir le formulaire, vérifiez simplement si ce champ est vide, est en train d'être envoyé par un humain (qui ne peut pas voir le champ et donc le remplir), sinon, d'un spammeur.

C'est pourquoi l'utilisation habituellement du spammer pour remplir tous les champs de la page avec des valeurs prédéfinies avant d'envoyer le formulaire ... et ne dérange pas l'utilisateur à lire le CAPTCHA.

ailleurs, comptez sur la Lecture humaine , quelque chose comme "Écrivez la première lettre x x du mot" $ Word "dans le champ:"

Ensuite, il vous suffit d'envoyer le mot $ X et $ à la page suivante et de le vérifier (et bien sûr, vous pouvez randomiser le nom des champs à être plus précisé)

Je me souviens que un plugin pour le forum PHPBB s'appuie sur le fait que, généralement, les bots spams sélectionnent la première option disponible (avec une valeur) dans le champs; Il suffit de mettre comme première option oui, im un bot.

Il existe de nombreuses façons de protéger contre les spambots, jouer sur un facteur que les robots n'auront jamais: imagination

---

1 commentaires

Les chèvres ne sont pas une solution particulièrement utile, à l'exception des cibles obscures et de faible valeur. C'est une forme de sécurité-globe-obscurité. Cela ne résout pas l'attaque conçue sur mesure. Même pour des attaques non conçues sur mesure, il suppose des robots ne développera pas la capacité d'identifier des champs invisibles, ce qui est assez trivial. Si le manuel a été utilisé par des cibles précieuses, des robots seront ajustés pour interpréter CSS et ignorer des champs invisibles. Le vrai CAPTCHA résout toutes les situations, à l'exception de la méthode "Human SweatShop Solver CAPTCHA" pour laquelle aucune protection n'existe (sauf peut-être sur la liste noire IP).

---

---

4
votes

Le besoin de session ou de base de données provient de la nécessité de coordonner l'image de l'image avec la page HTML contenant, alors que diriez-vous d'utiliser le même code pour incorporer une image CAPTCHA: [IMG SRC = 'Data: Image / JPEG ; base64, ... '], utilisez un sel aléatoire vers le cas de son texte, puis envoyez le sel aléatoire et le hachage avec l'image au client en un seul get?

sur le post-plan, vous appendez le texte de l'utilisateur sur le sel puis comparez les hachages. Je me demandais simplement à quel point cela serait sécurisé ...

---

0 commentaires

---

1
votes

Demandez au générateur CAPTCHA renvoyer une image et utilisez un hachage salé ou un hachage personnalisé pour la réponse (accent sur salé / personnalisé). Demandez au générateur pousser ce hachage dans un cookie. Le serveur peut ensuite valider en fonction de la valeur dans le cookie. Cela ne nécessiterait pas JavaScript, mais si les cookies sont désactivés, vous devez revenir à une autre technique.

---

7 commentaires

Le hachage peut être poussé dans un champ de forme cachée. De cette façon, vous n'auriez pas besoin d'un cookie.

---

@Matt c'est une bonne idée mais je pense que ce n'est pas en sécurité. L'attaquant pourrait utiliser un hachage connu pour un résultat connu (E.g d9a263b9de1023a8cc ... = "928137"), modifier le champ masqué et soumettre avec le résultat connu. Donc contourner le captcha.

---

@cherouvim C'est pourquoi vous devez saler votre hachage;)

---

@Matt: L'attaquant peut utiliser un hachage salé connu (découvert de la source HTML) pour un résultat connu (découvert en regardant l'image CAPTCHA).

---

@cherouvim vous devez lire sur le salage. Il n'y a aucun moyen pour un attaquant de dériver le sel d'une valeur hachée sans dépenser littéralement des millions d'années brute la forçant. Cet argument est notifié dans tous les cas - un attaquant écrit un script pour soumettre le formulaire plusieurs fois pourrait lire le hachage du champ d'en-tête Set-Cookie juste à partir d'un champ de formulaire caché.

---

@matt si vous me donnez un hachage salé sur la source HTML en tant qu'entrée cachée, et vous me donnez également le captcha respectif comme une image, ce qui m'arrête de "rejouer" que le hasch exact avec la valeur CAPTCHA chaque fois que je dois contourner le captcha?

---

@cherouvim c'est un point valide. Une solution à ce problème consiste à utiliser une nonce - un jeton unique unique à usage unique - qui ne peut être validée que à la fois, liée directement à la réponse CAPTCHA. J'utiliserais probablement également la nonce dans mon algorithme de salage, ce qui signifierait qu'en plus de la nonce à usage unique, le jeton de la nonce et la réponse CAPTCHA répondent fondamentalement. Semblable à la prévention XSRF.

---

---

1
votes

Remplissez automatiquement un UUID du CAPTCHA avec la réponse de l'utilisateur dans le poteau. Peasy facile.

---

0 commentaires

---

1
votes

Il suffit de faire un captcha mathématique;) 2 + 90 =? L'équation doit être montrée dans une image et une vila;)

---

2 commentaires

Mais vous devez toujours stocker le côté du serveur d'équation et identifier l'expéditeur pour le vérifier. Il ne s'agit pas du défi, il s'agit de la livraison.

---

Je ne sais pas que voulez-vous dire par «Stocker le côté serveur d'équation», l'équation est renvoyée par PHP, son côté serveur de toute façon.

---

---

0
votes

Formulaire avec validation:

/* font size will be 75% of the image height */
    $font_size = $height * 0.75;
    $image = @imagecreate($width, $height) or die('Cannot initialize new GD image stream');
    /* set the colours */
    $background_color = imagecolorallocate($image, 255, 255, 255);
    $text_color = imagecolorallocate($image, 0, 26, 26);
    $noise_color = imagecolorallocate($image, 25, 89, 89);
    /* generate random dots in background */
    for( $i=0; $i<($width*$height)/3; $i++ ) {
        imagefilledellipse($image, mt_rand(0,$width), mt_rand(0,$height), 1, 1, $noise_color);
    }
    /* generate random lines in background */
    for( $i=0; $i<($width*$height)/150; $i++ ) {
        imageline($image, mt_rand(0,$width), mt_rand(0,$height), mt_rand(0,$width), mt_rand(0,$height), $noise_color);
    }
    /* create textbox and add text */
    $textbox = imagettfbbox($font_size, 0, $this->font, $code) or die('Error in imagettfbbox function');
    $x = ($width - $textbox[4])/2;
    $y = ($height - $textbox[5])/2;
    imagettftext($image, $font_size, 0, $x, $y, $text_color, $this->font , $code) or die('Error in imagettftext function');
    /* output captcha image to browser */
    header('Content-Type: image/jpeg');
    imagejpeg($image);
    imagedestroy($image);

---

0 commentaires

---

Articles qui pourrait vous intéresser :

Pourquoi est-ce que j'obtiens une erreur laravel lors de la création d'un nouveau projet?

---

Select2 ne s'affiche pas correctement dans le mode bootstrap

---

Laravel Echo n'écoute pas

---

La validation de la demande de formulaire ne fonctionne pas. Il charge juste la page d'accueil dans Postman

---