实战案例-绕过计算型验证码

阅读须知

本文的知识内容，仅供网络安全从业人员学习参考，用于已获得合法授权的网站测试，请勿用于其它用途。请勿使用本文中的工具、技术及资料，对任何未经授权的网站、系统进行测试，否则，所造成的直接或间接后果，均由您自行承担。

场景介绍

本文场景为某违法网站的后台页面，通过 HTTP模糊测试工具和第三方 API 调用演示如何绕过加法的验证码识别，方便进行后台的弱口令爆破。

案件流程

首先访问该网站，进入登录界面发现是一个仿造的登录后台，该页面由用户名，密码和一个加法型的验证码组成。

工具下载：TangGo测试平台

案例分析

抓取数据

打开 HTTP抓包测试工具，打开右上角内置浏览器，在浏览器中访问网站，加载后是一个登录界面：

（登录页面）

回到 HTTP抓包测试工具中，点击左上角打开，点击浏览器中的验证码图片刷新验证码，查看是否能抓取到验证码的请求包，发现 HTTP抓包测试工具会抓取到对应的请求包数据：

（验证码请求包）

该数据是一个请求验证码的请求数据包，为了方便后续使用和数据的保存，把数据包发送到“重放模块”，且暂时把该数据包称之为“验证码请求数据包”。

发送到数据重放

也可单击右键发送），发送到 HTTP 重放模块后，点击发送按钮，可以看到右侧返回数据是一个图片，点击“页面浏览”可以看到具体的图片：

（验证码图片）

对于这些类型的验证码，社区版的模糊测试工具自带的识别引擎无法做到，但是我们可以调用第三方平台的API来实现。具体解决方法如下：

某些第三方平台提供了各类验证码识别的API接口，可以将验证码相关数据提交到第三方API接口进行识别。接下来我们用网上找到的某验证码识别平台的API进行演示，讲解如何通过自定义流程调用第三方API接口，使用第三方API接口帮忙识别验证码，得到计算型验证码的值。

API（Application Programming Interface，应用程序编程接口）接口是一种定义了软件应用程序之间如何进行通信和交互的协议和工具集合。API接口通常用于不同软件组件、服务或系统之间的集成和互操作，允许它们共享数据和功能，从而实现更大的应用或系统。

API 接口可以分为多种类型，详情请自行搜索学习，本文中使用的 API 接口为Web API。