验证码的三个常见漏洞和修复方法
更新时间：2020年6月25日 11:32 点击：1668
把验证码存储在Cookie中
一般来说，我们会把验证码的值用Session存储起来，通过对比用户提交的验证码和Session中的验证码，就可以知道输入是否正确。由于Session会占用服务器资源，我曾经想过是否可以把验证码的值加密后存储在Cookie中。不过事实证明，这只是异想天开罢了。
假设验证码的值是a，通过sha1加密后得到的值为b = sha1(a)，并且把b存储在Cookie中。而用户提交的验证码值为c，通过判断sha1(c)是否与b相等，可以知道输入的验证码是否正确。然而，Cookie是受客户端控制的。如果用户事先通过肉眼看到验证码的值是a，又从Cookie中得知此时的加密值为b，那么，他只要在提交前把Cookie的值修改为b，提交的验证码值为a，就可以永远通过验证。
没有进行非空判断
这种情况可以直接用代码来说明：
复制代码 代码如下:
if (Request["captcha"] == Session["captcha"] as string)
{
// 验证通过，继续操作
}
假设用户绕过了系统提供的表单直接提交数据，此时验证码还没生成，Session["captcha"]为空。用户不提交验证码时，Request["captcha"]也为空。于是，验证通过了。
要解决这个问题，其实只要加个非空判断就可以了：
复制代码 代码如下:
if (!String.IsNullOrEmpty(Request["captcha"]) &&
Request["captcha"] == Session["captcha"] as string)
{
// 验证通过，继续操作
}
没有及时销毁验证码
使用验证码要遵循一个原则，在一次比对之后，无论用户输入正确与否，都要立刻将验证码销毁。
如果不这样做，就可以出现以下情况：
假设用户输入错误，且验证码没有重新生成，那么他就可以一直尝试，直到正确为止。虽然机器对图片的一次性识别率比较低，但是，如果同一张图片你给它无限次机会的话，它还是可以识别出来的。
假设用户输入成功，且验证码没有销毁，那么在Session过期之前，他就可以一直用这个验证码通过验证。
相关文章
- Multipart/form-data是文件上传或数据提交时会用到了，在php中Multipart/form-data是有安全bug的，下面我们来看看如何修复Multipart/form-data的bug吧． 今天在乌云...2016-11-25
- 最近想自学PHP ，做了个验证码，但不知道怎么搞的，总出现一个如下图的小红叉，但验证码就是显示不出来，原因如下 未修改之前，出现如下错误； （1）修改步骤如下，原因如下，原因是apache权限没开， （2）点击打开php.int.， 搜索extension=ph...2013-10-04
- 这篇文章主要为大家详细介绍了JS实现随机生成验证码，文中示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下...2021-09-06
jQuery Real Person验证码插件防止表单自动提交
本文介绍的jQuery插件有点特殊，防自动提交表单的验证工具，就是我们经常用到的验证码工具，先给大家看看效果。效果图如下： 使用说明 需要使用jQuery库文件和Real Person库文件 同时需要自定义验证码显示的CSS样式 使用实例...2015-11-08- 通过jquery.cookie.js插件可以快速实现“点击获取验证码后60秒内禁止重新获取（防刷新）”的功能效果图：先到官网（http://plugins.jquery.com/cookie/）下载cookie插件，放到相应文件夹，代码如下：复制代码 代码如下: <!DOCTYPE ht...2015-03-15
- 验证码类文件 CreateImg.class.php <?php class ValidationCode { private $width,$height,$codenum; public $checkcode; //产生的验证码 private $checkimage; //验证码图片 private $disturbColor = ''; /...2015-11-08
- 这篇文章主要介绍了基于JavaScript实现验证码功能的相关资料...2017-04-03
- 下面小编就为大家带来一篇单击按钮发送验证码,出现倒计时的简单实例。小编觉得挺不错的，现在就分享给大家，也给大家做个参考。一起跟随小编过来看看吧 代码...2017-07-06
- 验证码是一个现在WEB2.0中常见的一个功能了，像注册、登录又或者是留言页面，都需要注册码来验证当前操作者的合法性,我们会看到有些网站没有验证码，但那是更高级的验证了，...2016-11-25
- 这篇文章主要介绍了基于Pytorch版yolov5的滑块验证码破解思路详解,本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下...2021-02-25
Bootstrap中文本框的宽度变窄并且加入一副验证码图片的实现方法
这篇文章主要介绍了Bootstrap中文本框的宽度变窄并且加入一副验证码图片的实现方法的相关资料,非常不错，具有参考借鉴价值，需要的朋友可以参考下...2016-06-24- 工信部的ICP备案网站登录时验证码一直输入不正确怎么回事,为了防止一些机器采集人工信部对于查询验证做得识别度极低，所以许多的朋友都会发现输入验证码一直有问题了，那...2016-10-10
- 最近接到新需求，需要实现一个点击发送验证码之后，按钮禁用，在5秒之后取消禁用，看似需求很简单，实现起来还真的好好动动脑筋，下面小编把jquery控制按钮禁用核心代码分享给大家，需要的朋友参考下吧...2021-07-24
- web开发中，经常会使用验证码功能，例如登录、注册，或其他关键功能之前经常会使用。下面通过实例代码给大家介绍Web制作验证码功能实例代码，感兴趣的朋友一起看看吧...2017-06-24
- GoDaddy怎么开启手机验证码登录?最近老听朋友说gd用户盗了，然后域名丢失了，今天 我们一起来看看关于GoDaddy开启手机验证码登录的教程． 给账户添加多重验证是为了账...2016-10-10
- 这篇文章主要介绍了python网络爬虫实现发送短信验证码的方法，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧...2021-02-25
- 这篇文章主要介绍了C#验证码识别基础方法实例分析,较为详细的总结了C#验证码的实现思路及具体步骤,并对实现思路进行了总结归纳,具有很好的实用价值,需要的朋友可以参考下...2020-06-25
- 这篇文章主要为大家详细介绍了vue实现登录验证码，文中示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下...2021-08-13
- 突然收到MySQL报警，从库的数据库挂了，一直在不停的重启，打开错误日志，发现有张表坏了。innodb表损坏不能通过repair table 等修复myisam的命令操作。现在记录下解决过程，下次遇到就不会这么手忙脚乱了。...2013-09-23
- 这篇文章主要为大家详细介绍了JavaScript实现验证码案例，文中示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下...2021-10-28