ReCaptcha đã bị bẻ khóa / hack / OCR'd / bị đánh bại / bị hỏng chưa? [đóng cửa]

Có phương pháp lập trình nào đã được sử dụng để đánh bại reCAPTCHA không?

Tôi quan tâm đến việc xem bằng chứng và có khả năng chứng minh rằng đặc biệt reCAPTCHA đã bị lỗi thời bởi các phương pháp hoàn toàn tự động, không có con người.

Để làm rõ, không tìm kiếm các giải pháp gian lận reCAPTCHA liên quan đến con người dưới bất kỳ hình thức nào, cho dù các đội được giao nhiệm vụ điền vào CAPCHA, người tìm kiếm khiêu dâm hoặc Mechanical Turk.

Tôi cũng không tìm kiếm các lựa chọn thay thế cho reCAPTCHA, như chọn loại động vật hoặc trường nền hoặc thủ thuật javascript.

Tôi nhận thấy rằng gần như tất cả các câu trả lời ở đây liên quan đến tính không hiệu quả của khái niệm CAPTCHA, về nguyên tắc - và trong khi tôi rất đồng ý với chúng, thực tế đã nói chuyện tại OWASP vài tháng trước giải thích rằng - câu hỏi rất cụ thể , vì vậy tôi sẽ cung cấp cho một cuộc biểu tình.
Nhưng trước tiên, tôi sẽ nhắc lại việc trình diễn đó sang một bên, đọc lại các bình luận khác, vì sự thật rằng CAPTCHA là vô nghĩa và không hữu ích, không liên quan đến việc thực hiện ....

Nhưng thực sự, hãy xem CAPTCHA Killer . Bạn có thể tải lên hình ảnh CAPTCHA và nó sẽ tự động, nếu không ngay lập tức, sẽ cung cấp câu trả lời của OCR. Nó cũng cung cấp một API (REST, tôi nghĩ vậy, nhưng cũng có thể là SOAP). Cá nhân tôi đã thử rất nhiều hình ảnh reCAPTCHA và nó thực sự là một trong những hình ảnh dễ nhất (hoặc ít nhất là nhanh nhất) bị hỏng.

CẬP NHẬT : Trang web CAPTCHA Killer hiện đã bị gỡ xuống, dường như chịu áp lực pháp lý. Xem http://captcha.org/ để biết tổng quan đầy đủ về chủ đề.

Và vâng, OCR không phải là cách tốt nhất để phá vỡ một trang web được bảo vệ CAPTCHA - có nhiều cách khác tốt hơn.

Bạn có thể quan tâm đến báo cáo chi tiết này về cách 4chan đánh bại reCAPTCHA và sử dụng nó để thao túng kết quả thăm dò TIME 100 hàng năm của Time.com .

Hacking Recaptcha (còn gọi là 'Lũ dương vật')

Chiến thuật tiếp theo được sử dụng là để xem liệu họ có thể tìm thấy lỗ hổng trong việc triển khai reCAPTCHA hay không. Một điều họ phát hiện ra về reCAPTCHA là nó luôn trình bày hai từ cho người dùng để giải mã - một từ là từ kiểm soát được hệ thống reCAPTCHA biết, trong khi từ kia là một từ chưa biết (reCAPTCHA sử dụng con người để giúp sửa lỗi OCR). Wikipedia mô tả quá trình: Văn bản quét Quét được phân tích bởi hai chương trình nhận dạng ký tự quang học khác nhau; trong trường hợp các chương trình không đồng ý, từ nghi vấn sẽ được chuyển đổi thành CAPTCHA. Từ này được hiển thị cùng với một từ điều khiển đã được biết và được dán nhãn bởi con người. Những từ đó luôn được các thẩm phán của con người đưa ra một nhãn hiệu duy nhất được tái chế dưới dạng các từ kiểm soát. 2iasdo4 Điều mà Anonymous nhận ra là nếu họ luôn gắn nhãn văn bản được quét không xác định bằng cùng một từ - và nếu họ làm điều này hàng ngàn và hàng ngàn lần thì cuối cùng một tỷ lệ lớn các từ chưa biết sẽ bị gắn nhãn sai với từ của họ. Tất cả những gì họ phải làm là nhìn vào hai từ trong hình ảnh xác thực, nhập nhãn thích hợp cho từ 'dễ' (có lẽ đó sẽ là từ mà hai máy quét quang học đồng ý) và nhập từ cái này khó đấy. Nếu họ làm điều này thường xuyên đủ, thì chẳng mấy chốc, một tỷ lệ đáng kể các hình ảnh sẽ được gắn nhãn là 'dương vật' và khả năng tự động lấy lại sẽ được khôi phục (một tác dụng phụ, không bị mất đối với Ẩn danh, là khái niệm mà trong nhiều năm tới sẽ có một số sách kỹ thuật số có chữ 'dương vật' được chèn ngẫu nhiên trong toàn bộ văn bản. Cập nhật: Tôi đã hỏi Ben Maurer,

Tối ưu hóa reCAPTCHA

Hấp dẫn như khái niệm rắc chữ 'dương vật' vào văn bản, nhóm nặc danh biết rằng đồng hồ đang kêu tích tắc và nếu họ định khôi phục Tin nhắn, họ sẽ không có thời gian chờ đợi máy tự động quay lại trực tuyến - họ sẽ phải bỏ phiếu thủ công, rất nhiều lần. Và vì vậy họ cần có khả năng nhập captcha nhanh nhất có thể. Họ đã phát triển một bộ hướng dẫn cho phép họ nhanh chóng quyết định những từ reCAPTCHA nào họ có thể bỏ qua. Ví dụ:

Bạn sẽ được tặng 2 từ: 1 thật, 1 giả.

Đối với [REAL FAKE]hoặc [FAKE REAL], bạn chỉ có thể nhập REALvà nó nên được chấp nhận.

Nếu nó [LOOKSREAL LOOKSREAL]hay [LOOKSFAKE LOOKSFAKE], nó thường chỉ nhanh hơn để gõ cả hai từ. Đừng lãng phí thời gian quý báu để quyết định xem cái nào là thật.

Sử dụng cả ngoại hình và loại từ để xác định một từ giả mạo. Đừng chỉ dựa vào một trong số họ.

Toàn bộ quy tắc là ở đây: captcha giả .

Điểm yếu của hệ thống CAPTCHA là mọi người thiết lập phòng đầy người ở Trung Quốc, công việc duy nhất của họ là xem hình ảnh CAPTCHA và nhập vào kết quả, cắm vào hệ thống tự động thực sự thực hiện spam.

Không có nhiều bạn có thể làm về điều đó thực sự.

Nó cũng rẻ hơn nhiều so với việc cố gắng thực hiện nhận dạng hình ảnh, OCR, v.v. trên hình ảnh thực tế (bạn có thể nhận được phản hồi với giá dưới 0,01 theo cách khác).

Trước khi chịu áp lực của việc sử dụng captcha, hãy xem xét các cách giải quyết sáng tạo như có một trường có nhãn "Nhận xét của bạn" bị ẩn bởi CSS. Nếu trường được nhập, máy chủ sẽ bỏ yêu cầu. Hầu hết các bot sẽ rơi vào nó ngay cả khi vẫn không có cách nào tốt để đánh bại căn phòng đầy những người lao động bị trả lương thấp, điều mà captcha không giúp được gì.

CẬP NHẬT : Chỉ cần đọc một nghiên cứu điển hình trong đó loại bỏ CAPTCHA tăng tỷ lệ chuyển đổi lên gần 10%. Điều đó sẽ cho tôi thấy rằng nó khá bị hỏng nếu bạn mất 10% khách hàng tiềm năng chỉ để lọc bot. Hãy tưởng tượng 10% có nghĩa là gì đối với hầu hết các doanh nghiệp.

Captcha yêu thích của tôi là từ Microsoft: http://research.microsoft.com/en-us/um/redmond/projects/asirra/

Asirra (Nhận dạng hình ảnh loài động vật để hạn chế quyền truy cập) là một HIP hoạt động bằng cách yêu cầu người dùng xác định hình ảnh của mèo và chó. Nhiệm vụ này là khó khăn cho máy tính, nhưng các nghiên cứu người dùng của chúng tôi đã chỉ ra rằng mọi người có thể hoàn thành nó một cách nhanh chóng và chính xác. Nhiều người thậm chí nghĩ rằng nó rất vui!

Đây là một dịch vụ miễn phí và họ có mã ví dụ để giúp bạn bắt đầu.

Tôi tự hỏi sẽ mất bao lâu trước khi nó bị nứt.

reCAPTACHA không bị hỏng và nó sẽ không tồn tại trong một thời gian rất dài. Vấn đề là, nếu bạn thực hiện captcha của riêng mình nếu nó bị hỏng, có lẽ sẽ mất nhiều thời gian để sửa nó.

Điều này được lấy từ trang về bảo mật reCAPTCHA :

reCAPTCHA là một dịch vụ web. Điều đó có nghĩa là tất cả các hình ảnh được tạo và phân loại bởi các máy chủ của chúng tôi. (Hoài) điều này cũng cung cấp một mức độ bảo vệ bổ sung: CAPTCHA của chúng tôi có thể được cập nhật tự động bất cứ khi nào tìm thấy lỗ hổng bảo mật.

Ví dụ: nếu ai đó viết chương trình có thể đọc các hình ảnh bị bóp méo của chúng tôi, chúng tôi có thể thêm nhiều biến dạng trong thời gian rất ngắn và không có chủ web phải thay đổi bất cứ điều gì về phía họ.

Tôi tin rằng vì chúng chuyên về captcha nên chúng có các phiên bản cải tiến được lưu trữ, sẵn sàng triển khai trong thời gian ngắn nếu cần. (Tại sao họ phải tạo bảo mật mạnh hơn khi yếu hơn chưa bị hỏng?)

Nó không chỉ bị đánh bại mà còn là một ứng dụng hữu ích đã được xây dựng thành công trên nó, để trở thành công cụ tuyệt vời nhất để đánh bại tất cả các loại bảo vệ tài khoản miễn phí của một danh sách lớn các trang web tải xuống trực tiếp (không chỉ megaupload và Rapidshare ).

Jdoader là mã nguồn mở và được viết bằng Java, vì vậy việc xem mã nguồn có thể trả lời không chỉ nếu nó bị hỏng mà còn như thế nào .

Chỉnh sửa : Hầu hết các trang web tải xuống trực tiếp không sử dụng reCaptcha, nhưng phương pháp Captcha đơn giản hơn (3 chữ in hoa được tô màu khác nhau). Tuy nhiên, Jdoader và Cryptload (một chương trình tương tự như Jdoader) là các triển khai hoạt động duy nhất mà tôi biết rằng đã thực sự phá vỡ một phương thức Captcha. Tôi chưa nghe nói về bất kỳ triển khai nào để bẻ khóa reCaptcha.

Cập nhật : Có vẻ như ít nhất một lần thực hiện reCaptcha (không phải toàn bộ reCaptcha) cũng đã bị bẻ khóa .

Cập nhật tháng 12 năm 2010 : Jdoader cuối cùng dường như đang đánh bại reCaptcha . Plugin vẫn đang thử nghiệm và chỉ hoạt động trên các phiên bản Windows của Jdoader, nhưng, như tôi đã nói với một người bạn đã dùng thử, nó vẫn hoạt động.

Có một bài phát biểu tại Defcon năm ngoái đã đi vào các vấn đề với CAPTCHA nói chung. Một trong những điều họ đã làm là sử dụng nhiều công cụ OCR miễn phí và để họ bỏ phiếu cho những từ tốt nhất. Làm điều này, họ đã có thể đạt được một cơ hội thành công khá tốt. Đối với một loại, nó là 40% hoặc hơn, tôi không nghĩ rằng đó là reCaptcha, mặc dù.

• "Trên thực tế, nó [reCAPTCHA] đã trở nên khá vô dụng vào ngày 4 tháng 1 năm 2011 khi những kẻ gửi thư rác dường như đã nhúng tay vào một phần mềm để cắt xén reCAPTCHA và cho phép quá trình đăng ký hoàn toàn tự động. , kể từ đó " [1]

Cách đây 2-3 năm, cách tiếp cận captcha dựa trên văn bản gõ đã xâm phạm đường dây khi họ thua trận, tức là các biến chứng tiếp theo chỉ khiến chúng tương đối (vì sức mạnh máy tính ngày càng tăng, trong khi con người thì không) dễ dàng hơn và đẩy lùi và đẩy lùi, nếu không hoàn toàn không thể, với con người Điều này tương phản với mô hình gốc của CAPTCHA dưới dạng thử nghiệm để đảm bảo rằng phản hồi không được tạo bởi máy tính

Cập nhật:
Lưu ý rằng reCAPTCHA thuộc sở hữu của Google Inc. nhưng Google Inc. không sử dụng dịch vụ của họ.
Đây là một trang web liên kết với captcha được sử dụng bởi chính Google / nội bộ cho ví dụ, để đăng ký Gmail:

Lưu ý rằng reCAPTCHA của Google luôn có 2 từ.
Đây là liên kết cho hình ảnh với reCAPTCHA của Google được cung cấp để sử dụng cho những người khác .

Và ảnh chụp màn hình của reCAPTCHA:

Tôi rời đi để đưa ra kết luận rõ ràng cho một độc giả.

Trích dẫn: [1]
Diễn đàn diễn đàn bị tấn công bởi reCAPTCHA bẻ khóa bot bot | Blog PC Pro
Được đăng vào ngày 12 tháng 1 năm 2011 bởi Davey Winder

Tôi đang xem các nhận xét blog trên một hệ thống được bảo vệ bởi reCAPTCHA nơi tải trang và 1 giây sau bài đăng đã được thực hiện thành công. Tác nhân người dùng là vô nghĩa (trong trường hợp cụ thể này, nó tuyên bố đang chạy Ubuntu 9.25 / Firefox 3.8), người giới thiệu đến từ một trang web hoàn toàn không liên quan đến chúng tôi.

Điều này rõ ràng là tự động.

reCAPTCHA chưa bị đánh bại. Nếu đã có thì tại sao Google chỉ mua nó và thông báo họ sẽ áp dụng công nghệ trong Google để tăng cường gian lận và chống spam cho các sản phẩm của Google?

từ Google Mua lại reCAPTCHA được đăng lên Google Blog vào ngày 16/9/09:

Theo cách này, công nghệ độc đáo của reCAPTCHA cải thiện quy trình chuyển đổi hình ảnh được quét thành văn bản thuần túy, được gọi là Nhận dạng ký tự quang học (OCR). Công nghệ này cũng hỗ trợ các dự án quét văn bản quy mô lớn như Google Sách và Google News Archive Search. Có phiên bản văn bản của tài liệu rất quan trọng vì có thể tìm kiếm văn bản đơn giản, dễ dàng hiển thị trên thiết bị di động và hiển thị cho người dùng khiếm thị. Vì vậy, chúng tôi sẽ áp dụng công nghệ trong Google không chỉ để tăng cường gian lận và chống spam cho các sản phẩm của Google mà còn để cải thiện quy trình quét sách và báo của chúng tôi.

Cách dễ nhất để đánh bại Captchas là Amazon Mechanical Turk. Có một anh chàng tên là Kermit Welda, mỗi người trả cho mọi người một số tiền để đăng ký tài khoản Hotmail, AOL và Gmail. Đó là 6.000 tài khoản email giả với giá 5 xu = 300 đô la mỗi ngày. Chi phí kinh doanh khá rẻ khi bạn có người khác làm công việc bẩn thỉu cho bạn. Không có gì ngạc nhiên khi các bộ lọc thư rác của máy chủ của chúng tôi muốn từ chối mọi thứ từ Hotmail.

AFAIK Trong thực tế không có công cụ nào để bẻ khóa triển khai RE-captcha, tuy nhiên cuối cùng tôi cho rằng ai đó sẽ nhận được nó.

Thật buồn cười nếu ai đó quản lý để có được nó thì toàn bộ dự án RE-captcha là vô nghĩa vì việc tái xác nhận lại được thiết kế số hóa các cuốn sách không thể thực hiện theo cách tự động.

BTW:

Điểm yếu của hệ thống CAPTCHA là mọi người thiết lập phòng đầy người ở Trung Quốc, công việc duy nhất của họ là xem hình ảnh CAPTCHA và nhập vào kết quả, cắm vào hệ thống tự động thực sự thực hiện spam.

Bạn không thể bảo mật hệ thống với suy nghĩ như vậy, điều này giống như nói rằng "ứng dụng web của bạn không đủ an toàn nếu máy chủ của bạn không ở trong hầm quân sự cũ, bởi vì bây giờ mọi người có thể đánh cắp máy của bạn".

Có rất nhiều phương pháp được sử dụng để crap recaptcha. Mặc dù khó sử dụng các chương trình hỗ trợ netwpork thần kinh để tự động giải quyết chúng, nhưng có thể lấy hình ảnh và có máy quay cơ của amazon hoặc một số chương trình tương đương để giải quyết chúng.

http://codemagician.wordpress.com/2010/01/22/solve-recaptcha/