0

我做了一些图像验证。用户必须从动态生成的图像中输入代码。

此代码正在主 php 文件中使用：

@session_start();
if (isset($_POST['session_pw'])&&$_SESSION['result']==$_POST['security_im']) {
    $_SESSION['pw']=$_POST['session_pw'];
    $_SESSION['ip'] = $_SERVER['REMOTE_ADDR'];
}
if ($_SESSION['pw']=='mypassword'&&$_SESSION['ip'] == $_SERVER['REMOTE_ADDR']){

        // OK we are in.
    // Otherwise display a login form:
}else echo <<<EOD
    <form method="POST">
    <font color="blue"> Authorization is required:</font><br>
    <input type="text" name="security_im" style="text-align:right;padding-right:1px;background-repeat:no-repeat;background-image:url(../imagecheck.php)"><br>
    <input type="password" name="session_pw" style="text-align:right;padding-right:1px"><br>
    <input type="submit" style="margin:0px">
    </form>
EOD;

请注意：

background-image:url(../imagecheck.php)

这就是我如何称呼生成的图像。这就是它的内容：

<?php
session_start();
create_image();
exit();

function create_image() {
    $md5 = "";
    while (strlen($md5) == 0) {
        $md5 = md5(mt_rand());
        $md5 = preg_replace('/[^0-9]/', '', $md5);
    }
    $pass = substr($md5, 10, 5);
    $_SESSION['result'] = $pass;
    $width = 60;
    $height = 20;
    $image = ImageCreate($width, $height);

    //We are making three colors, white, black and gray
    $clr[1] = ImageColorAllocate($image, 204, 0, 204);
    $clr[2] = ImageColorAllocate($image, 0, 204, 204);
    $clr[3] = ImageColorAllocate($image, 204, 204, 0);

    $R = rand(1, 3);
    $black = ImageColorAllocate($image, 255, 255, 255);
    $grey = ImageColorAllocate($image, 204, 204, 204);

    //Make the background black
    ImageFill($image, 0, 0, $black);

    //Add randomly generated string in white to the image
    ImageString($image, 5, 7, 2, $pass, $clr[$R]);

    //Throw in some lines to make it a little bit harder for any bots to break
    imageline($image, 0, 0, $width - 2, $height - 2, $grey);
    imageline($image, 0, $height - 2, $width - 2, 0, $grey);
    ImageRectangle($image, 0, 0, $width - 1, $height - 1, $grey);

    //Tell the browser what kind of file is come in
    header("Content-Type: image/jpeg");
    //Output the newly created image in jpeg format
    ImageJpeg($image, null, 80);
    //Free up resources
    ImageDestroy($image);
}
?>

笔记：

$_SESSION['result'] = $pass;

这就是我在会话中存储密钥的方式。

现在，问题是，图像可能会被阻止，并且会话密钥不会从上次存储的结果中改变。这意味着巨大的威胁。我想知道是否有任何保护或解决方法？

请仅在您了解问题和安全性的情况下回答:-)

4

2 回答 2

1

您应该更关心缓存而不是阻塞的请求。Cache-Control在您包含一些标题等之前，背景图像可能不会被刷新。

更重要的是防止重播。为此，您应该：

  • 时间戳值。并使验证码验证拒绝接受旧值。

  • 一两次成功验证后清除验证码会话状态。

背景图像未加载（“阻止”）只是意味着您在会话存储中将没有有效的令牌开始。这不是问题，除非您的验证逻辑设计不当。

最后，验证码的有效性不会随着图像中的随机线条而增加。它与您的表单结构一样有效。一旦蜘蛛适应了您的自定义变体，就很容易规避。虚假的安全在于它的默默无闻。虽然不是很好的学习体验，但建议使用现成的验证码脚本。

于 2012-06-28T00:54:51.110 回答
0

除了存储结果之外，为什么不存储时间戳。这样，您可以在十分钟内使结果过期。

还要在验证表单提交的部分中添加一些代码，以清除该会话变量，无论它是否成功。这样，如果他们想再次提交，他们将需要输入新的结果。

于 2012-06-28T00:56:33.007 回答