本日共有された Writeup は、対象 Web サイトの脆弱性テスト中に作成者によって発見された、単純な人間とコンピュータの認証 (Captcha) バイパス方法です。対象 Web サイトのログイン ページに単純な要素を作成するために、Chrome 開発者ツールが使用されました。エディターはキャプチャ バイパスを実装しました。
人間とコンピュータの認証 (キャプチャ) は通常、Web サイトの登録ページ、ログイン ページ、パスワード リセット ページに表示されますが、対象 Web サイトがログイン ページに配置したキャプチャの仕組みは次のとおりです。
上の図からわかるように、ユーザーはキャプチャの「私はロボットではありません」にチェックを入れた後でのみログイン ボタン (サインイン) をクリックすることができます。検証メカニズム。ユーザーがクリックできるように表示されます。そこで、これを踏まえて、サインインボタンを右クリックし、Chrome デベロッパーツールの「要素の検査」機能を使って、サインインボタンの基となる要素を表示したところ、 「「送信」アクションの後、「無効」属性が定義されています。それでは、「有効」に変更して試してみます。
今回の変更により、ログインボタン(Sign-IN)が表示され、クリックできるようになりました。そうですね、私はロボットではありません。人と機械の認証(Captcha)はこちらです飾りになりました。
サーバー側の検証方法に興味があったので、BurpSuite を使用して上記のプロセスでパケットをキャプチャしたところ、サーバーは送信されたキャプチャ操作を検証していないことがわかりました。そのため、送信されたキャプチャ セッション コンテンツを削除しても、「有効」属性をトリガーせずにログイン ページにジャンプできます。
以上がヒューマンマシン認証キャプチャを簡単にバイパスする方法の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。

ホットAIツール

Undresser.AI Undress
リアルなヌード写真を作成する AI 搭載アプリ

AI Clothes Remover
写真から衣服を削除するオンライン AI ツール。

Undress AI Tool
脱衣画像を無料で

Clothoff.io
AI衣類リムーバー

AI Hentai Generator
AIヘンタイを無料で生成します。

人気の記事

ホットツール

EditPlus 中国語クラック版
サイズが小さく、構文の強調表示、コード プロンプト機能はサポートされていません

SecLists
SecLists は、セキュリティ テスターの究極の相棒です。これは、セキュリティ評価中に頻繁に使用されるさまざまな種類のリストを 1 か所にまとめたものです。 SecLists は、セキュリティ テスターが必要とする可能性のあるすべてのリストを便利に提供することで、セキュリティ テストをより効率的かつ生産的にするのに役立ちます。リストの種類には、ユーザー名、パスワード、URL、ファジング ペイロード、機密データ パターン、Web シェルなどが含まれます。テスターはこのリポジトリを新しいテスト マシンにプルするだけで、必要なあらゆる種類のリストにアクセスできるようになります。

ゼンドスタジオ 13.0.1
強力な PHP 統合開発環境

AtomエディタMac版ダウンロード
最も人気のあるオープンソースエディター

SublimeText3 中国語版
中国語版、とても使いやすい

ホットトピック



