Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-22 12:43:23 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/pentesting-web/captcha-bypass.md

7.2 KiB
Raw Blame History

Captcha Bypass

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks
{% endhint %}

Captcha Bypass

Щоб обійти капчу під час тестування сервера та автоматизувати функції введення користувача, можна використовувати різні техніки. Мета полягає не в підриві безпеки, а в спрощенні процесу тестування. Ось всебічний список стратегій:

  1. Маніпуляція параметрами:
  • Пропустіть параметр капчі: Уникайте надсилання параметра капчі. Експериментуйте зі зміною HTTP-методу з POST на GET або інші дієслова, а також змінюйте формат даних, наприклад, переходячи між формами даних і JSON.
  • Надішліть порожню капчу: Надішліть запит з присутнім параметром капчі, але залиште його порожнім.
  1. Витягування та повторне використання значень:
  • Перевірка вихідного коду: Шукайте значення капчі у вихідному коді сторінки.
  • Аналіз куків: Перевірте куки, щоб дізнатися, чи зберігається та повторно використовується значення капчі.
  • Повторне використання старих значень капчі: Спробуйте знову використовувати раніше успішні значення капчі. Пам'ятайте, що вони можуть закінчитися в будь-який момент.
  • Маніпуляція сесією: Спробуйте використовувати те саме значення капчі в різних сесіях або з тим самим ідентифікатором сесії.
  1. Автоматизація та розпізнавання:
  • Математичні капчі: Якщо капча містить математичні операції, автоматизуйте процес обчислення.
  • Розпізнавання зображень:
  • Для капч, які вимагають читання символів з зображення, вручну або програмно визначте загальну кількість унікальних зображень. Якщо набір обмежений, ви можете ідентифікувати кожне зображення за його MD5-хешем.
  • Використовуйте інструменти оптичного розпізнавання символів (OCR), такі як Tesseract OCR, щоб автоматизувати читання символів з зображень.
  1. Додаткові техніки:
  • Тестування обмеження швидкості: Перевірте, чи обмежує програма кількість спроб або подань за певний проміжок часу та чи можна це обмеження обійти або скинути.
  • Сервіси третьої сторони: Використовуйте сервіси або API для розв'язання капч, які пропонують автоматичне розпізнавання та розв'язання капч.
  • Ротація сесій та IP-адрес: Часто змінюйте ідентифікатори сесій та IP-адреси, щоб уникнути виявлення та блокування сервером.
  • Маніпуляція User-Agent та заголовками: Змінюйте User-Agent та інші заголовки запитів, щоб імітувати різні браузери або пристрої.
  • Аналіз аудіо капчі: Якщо доступна опція аудіо капчі, використовуйте сервіси перетворення мови в текст для інтерпретації та розв'язання капчі.

Online Services to solve captchas

Capsolver

Автоматичний розв'язувач капч Capsolver пропонує доступне та швидке рішення для розв'язання капч. Ви можете швидко інтегрувати його у свою програму за допомогою простого варіанту інтеграції, щоб досягти найкращих результатів за лічені секунди. Він може розв'язувати reCAPTCHA V2 та V3, hCaptcha, FunCaptcha, datadome, aws captcha, picture-to-text, binance / coinmarketcap captcha, geetest v3 та інше. Однак це не є обхід у чистому вигляді.

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks
{% endhint %}