再论验证码安全：请及时销毁你的验证码

我在中讲到了如何使用C#模拟用户登录具有验证码网站。今天我就换位思考一下，站在网站开发人员的角度讲一讲验证码的的一个安全问题：及时销毁网站中的验证码。

为了方便大家理解，这里我就以一个投票的应用网站为例进行说明。投票网站首先要防止的就是用户不断点击投票按钮来重复投票；当然，避免重复投票的解决办法有很多，比如记录IP、写入Session、Cookie甚至还有要求用户输入身份证号码等。但是你记录IP，那我就写一个程序来模拟发包，每投1票后自动换代理，然后继续投票，如果是写入到Session中那么我写个投票程序，每投1票就重新开启一个新的会话就是。如果是记入Cookie，那我该表Cookie的值再模拟投票发包，要输入身份证号进行验证？写个身份证号码生成程序也十分容易……

在投票机器人面前，记录IP、记录身份证号码、写入Session和Cookie等防作弊技术形同虚设。所以在投票网站中验证码功能必不可少。那么我们将验证码功能加入到网站投票中：

1.生成验证码图片的页面CreateImg.aspx，其后台代码为：

2.在用户单击投票按钮后触发的事件：

OK，大功告成！这个程序逻辑上有问题吗？没有吧，验证码是生成的图片，图片是有干扰因素的，不会被程序识别，而且验证码的内容是保存到服务器的，逻辑处理也是错。似乎一切都那么完美，但是事实并不是这样，对于这样的投票网站，我的投票机器人仍然肆无忌惮的不断切换IP，不断刷票。（要做投票机器人的同志们注意啦，不要看到投票的地方是有验证码的就一筹莫展了哦，也许他的网站就存在以下描述的漏洞哦！）

在平时使用IE浏览时，每投票一次后刷新页面，验证码生成页面被重新请求，所以Session值在请求验证码生成页时被替换，所以不会有什么问题。但是现在面对的是投票机器人，我的机器人在第一次请求时获得验证码的图片并展示给用户，用户肉眼识别验证码，然后输入程序的文本框中，由于服务器上验证码的内容并没有被销毁，而且投票程序也不会再请求验证码生成图片的URL，所以接下来每次使用相同的SessionID和用户输入的验证码值，服务器验证投票时 if (Session["CheckCode"].ToString().ToLower() != txbCode.Text.ToLower()) 都会返回false，验证码都是通过的，所以投票自然成功。终究是百密一疏啊！费尽心思防止投票作弊，最终却因为这一个地方的疏忽而前功尽弃，投票作弊成功，投票结果还是被投票机器人所左右。

也许有人想到了，那可以在Session中放置一个标记，如果投票成功了就将标记置“1”，下次请求时判断Session中标记为“1”就拒绝投票就是了。但是投票只是我这里举的一个例子，像论坛这种用验证码防止用户恶意灌水的总不可能限制用户只发一帖吧。论坛发帖时的验证码如果没有被及时销毁，那么我的灌水机器人就仍然可以到处肆意发帖了，哈哈哈哈。

要避免这个漏洞被利用还是很简单，只需要将上面的代码中投票完成后立即将验证码从服务器上销毁即可：

再论验证码安全：请及时销毁你的验证码

相关推荐