验证码绕过与密码找回漏洞

一、验证码简介

验证码（CAPTCHA）是“Completely Automated Public Turing test to tell Computers and Humans Apart”（全自动区分计算机和人类的图灵测试）的缩写，是一种区分用户是计算机还是人的公共全自动程序。

验证码可以防止：
（1）恶意破解密码
（2）刷票
（3）论坛灌水（使用Burp不断发送数据包，替换UA、Accept等无关紧要的数据为Null payloads，甚至自己添加一个数据）
（4）有效防止黑客对某一个特定注册用户用特定程序暴力破解的方式，进行不断的登陆尝试

实际上使用验证码是现在很多网站通行的方式。

验证码的种类：中文、数字、点击字符、拖动滑块、旋转校正、数学运算

验证码的核心是一个由计算机生成并评判的问题，这个问题计算机无法解答，但是人类可以解答，回答出问题的用户被认为是人类。

二、验证码绕过

验证码绕过有两种流派：
（1）图像识别，需要编写脚本
（2）逻辑绕过（后端代码有漏洞）