Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2025-02-17 06:28:27 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/pentesting-web/captcha-bypass.md

5.2 KiB
Raw Blame History

Captcha Bypass

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks
{% endhint %}

Captcha Bypass

Aby obejść captcha podczas testowania serwera i zautomatyzować funkcje wprowadzania danych przez użytkownika, można zastosować różne techniki. Celem nie jest podważanie bezpieczeństwa, ale uproszczenie procesu testowania. Oto kompleksowa lista strategii:

  1. Manipulacja parametrami:
  • Pomiń parametr Captcha: Unikaj wysyłania parametru captcha. Eksperymentuj ze zmianą metody HTTP z POST na GET lub inne czasowniki oraz zmieniając format danych, na przykład przechodząc między danymi formularza a JSON.
  • Wyślij pustą Captcha: Złóż żądanie z parametrem captcha, ale pozostaw go pustym.
  1. Ekstrakcja i ponowne wykorzystanie wartości:
  • Inspekcja kodu źródłowego: Szukaj wartości captcha w kodzie źródłowym strony.
  • Analiza ciasteczek: Sprawdź ciasteczka, aby zobaczyć, czy wartość captcha jest przechowywana i ponownie wykorzystywana.
  • Ponowne wykorzystanie starych wartości Captcha: Spróbuj ponownie użyć wcześniej udanych wartości captcha. Pamiętaj, że mogą one wygasnąć w każdej chwili.
  • Manipulacja sesją: Spróbuj użyć tej samej wartości captcha w różnych sesjach lub tego samego identyfikatora sesji.
  1. Automatyzacja i rozpoznawanie:
  • Matematyczne Captcha: Jeśli captcha obejmuje operacje matematyczne, zautomatyzuj proces obliczeń.
  • Rozpoznawanie obrazów:
  • W przypadku captcha, które wymagają odczytania znaków z obrazu, ręcznie lub programowo określ całkowitą liczbę unikalnych obrazów. Jeśli zestaw jest ograniczony, możesz zidentyfikować każdy obraz po jego hashu MD5.
  • Wykorzystaj narzędzia do rozpoznawania znaków optycznych (OCR), takie jak Tesseract OCR, aby zautomatyzować odczyt znaków z obrazów.
  1. Dodatkowe techniki:
  • Testowanie limitów szybkości: Sprawdź, czy aplikacja ogranicza liczbę prób lub zgłoszeń w danym czasie i czy ten limit można obejść lub zresetować.
  • Usługi zewnętrzne: Skorzystaj z usług lub API do rozwiązywania captcha, które oferują automatyczne rozpoznawanie i rozwiązywanie captcha.
  • Rotacja sesji i IP: Często zmieniaj identyfikatory sesji i adresy IP, aby uniknąć wykrycia i zablokowania przez serwer.
  • Manipulacja User-Agent i nagłówkami: Zmień User-Agent i inne nagłówki żądania, aby naśladować różne przeglądarki lub urządzenia.
  • Analiza audio Captcha: Jeśli dostępna jest opcja audio captcha, skorzystaj z usług rozpoznawania mowy, aby zinterpretować i rozwiązać captcha.

Online Services to solve captchas

Capsolver

Automatyczny rozwiązywacz captcha Capsolver oferuje przystępne i szybkie rozwiązanie do rozwiązywania captcha. Możesz szybko połączyć go z swoim programem, korzystając z opcji łatwej integracji, aby osiągnąć najlepsze wyniki w ciągu kilku sekund. Może rozwiązywać reCAPTCHA V2 i V3, hCaptcha, FunCaptcha, datadome, aws captcha, obraz-na-tekst, binance / coinmarketcap captcha, geetest v3 i inne. Jednak nie jest to obejście per se.

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks
{% endhint %}