Reklamowe rolnictwo/żeton zbioru został opisany tutaj szczegółowo: https://www.blackhat.com/docs/asia-16/materials/asia-16-Sivakorn-Im-Not-a-Human-Breaking-the-Google-reCAPTCHA-wp.pdf
Podejście do „tokena rolnictwa” omawianej w niniejszym dokumencie opiera się na następującym mechanizmem:
- każdego użytkownika, który odwiedza strona z recaptcha otrzymuje numer
recaptcha-token.
- Ten token służy do identyfikacji użytkownika podczas wielokrotnych wizyt w witrynie i oznaczenia go jako prawowitego (lub nielegalnego) użytkownika.
- W zależności od różnych czynników, takich jak wiek rekaptcha-sygnatury, zachowanie użytkownika i konfiguracja przeglądarki, użytkownik każdej wizyty ma jedną z różnych wersji recaptcha lub nawet nie zawiera captcha.
(więcej szczegółów można uzyskać z ich kod tutaj: https://github.com/neuroradiology/InsideReCaptcha)
Znaczy, jeśli można tworzyć ogromną liczbę świeże i czyste żetony do miejsca docelowego i wiek je przez 9 dni (to co artykuł się dowiedział), te żetony można wykorzystać do uzyskania dostępu do recaptcha kilku chronionych stron, zanim kiedykolwiek zobaczą recaptcha.
Taki świeży token należy przekazać jako plik cookie do witryny, o której mowa.
Jednak pamiętam, że po przeczytaniu gdzieś google zamknięte tę lukę w ciągu kilku dni po tej prezentacji
także najprawdopodobniej istnieją inne, podobne podejście, które zostały oznaczone „hodowla” tokena.
O ile mi wiadomo, wszystkie te podejścia wykorzystywały luki w systemie recaptcha i te luki zostały zamknięte przez Google naprawdę szybko - często nawet zanim papier lub prezentacja została opublikowana, ponieważ odpowiedzialni autorzy zazwyczaj informują go z wyprzedzeniem.
Tak więc dla ciebie jest to prawdopodobnie tylko wartość akademicka lub nauka o właściwej ochronie systemów captcha i usług opartych na tokenach w ogóle.
aktualizacja
Szybkie sprawdzenie na kilku Odśwież chroniony stron pokazały, że obecny system teraz szyfruje pliki cookies, ale recaptcha-żeton można znaleźć w formie Odśwież jako dwóch ukrytych elementów wejściowych z częściowo różni wartości i id = "recaptcha-token".
Podczas odwiedzania takiej strony z czystą przeglądarką otrzymasz nowy token recaptcha, który możesz zapisać i wstawić do tego samego formularza później, gdy zajdzie taka potrzeba. Przynajmniej taka jest teoria, jest bardzo prawdopodobne, że wszystkie pliki cookie i niektóre długoterminowe pliki przechowywane w przeglądarce powstrzymają cię przed zrobieniem tego.
Aby wyjaśnić, czy przedstawiasz ludziom wyzwania związane z captcha, a następnie próbujesz użyć rozwiązania na stronie internetowej, które zostało ustawione w celu ochrony captcha w sposób automatyczny? – halfer
Wygląda na próbę włamania się do systemu captcha –
@halfer Zostałem poinformowany, że możesz rozwiązać reCaptcha na stronie i odzyskać rozwiązany token, aw ciągu 2 minut, gdybym miał przejść do innej witryny z ponownym przystankiem, mogę użyj rozstrzygniętego tokena reCaptcha, aby rozwiązać bieżący reCaptcha. –