Что значит вводить капчу. Капча: что это такое и какая она бывает. Обход капчи с помощью сессий

• Tutorial

Сколько лет существует Хабр - столько лет на нём регулярно появляются посты про очередную капчу - будь то скрипт генерации картинки, новая идея капчи с котиками и тому подобное. Самый свежий пример того, что человек не совсем понимает - как же всё таки должна работать капча (см. текст поста и последние комментарии), но при этом делится своими заблуждениями с сообществом. Складывается ощущение, что капча - это такая terra incognita для большинства разработчиков - как для тех, кто просто прикручивает её к очередной форме в надежде на то, что она будет работать «из коробки», так и для тех кто придумывает капчи вроде тех, на которых надо выбрать картинку с котиком из нескольких фото.

Статья содержит полезную информацию для тех, кто использует капчу на своём сервере, вместо того чтобы довериться стороннему сервису вроде reCaptcha.

А для затравки - если вы считаете, что такая проверка капчи будет работать:
if($_POST["captcha"] == $_SESSION["captcha"]) return true; (пример из практики)
то вы глубоко заблуждаетесь.

Captcha

Согласно своему определению, captcha - это автоматизированный публичный тест Тьюринга (тест который может пройти человек, но не компьютер). В статье я буду рассматривать свойтсва капчи на примере самого распространненого её вида - текста на картинке, хотя почти все написанное одинаково применимо к любому виду капчи.

Два главных свойства капчи

Любая капча должна обладать двумя свойствами, без которых она не будет работать:

Устойчивость к распознаванию - свойство, защищающее капчу от распознавания алгоритмом - например системой распознавания текста. Гарантирует то, что человек сможет прочитать текст на картинке, а компьютер нет.
Антипример: стандартная капча форумов phpBB 2.x таким свойством не обладала - из-за относительной простоты распознавания появились скрипты, которые спамили все подряд форумы вынуждая веб-мастеров менять капчу на более стойкую.

Устойчивость к угадыванию - свойство капчи, не позволяющее угадать её значение за небольшое число попыток (менее 1000). Если набор возможных значений капчи невелик, программе не составит труда угадать её подбором вместо распознавания.
Антипример: арифметическая капча вроде «1+2» (перебор чисел от 1 до 20 в скором времени даст результат).
Антипример: выбрать из нескольких картинок ту, на которой изображён котик.

Проверка капчи

Значение для проверки должно храниться на сервере, а не передаваться вместе с картинкой в браузер. Для сопоставления посетителя и правильного значения капчи необходимо использовать некий ключ, который передаётся вместе с капчей (идентификатор сессии, номер капчи и т.п.)
Антипример: если передавать саму капчу и значение для ее проверки (в том числе зашифрованное), то человеку достаточно один раз распознать такую капчу и далее использовать комбинацию «ответ»-«значение для проверки» в своём скрипте (по ссылке в начале поста как раз такой случай)

Перед проверкой ответа - надо убедиться, что он не пустой. В противном случае, злоумышленник может не загружая картинку или удалив идентификатор текущей сессии, передать пустое значение и пройти капчу, т.к. произойдёт сравнение двух пустых строк (в PHP несуществующее значение равно пустой строке).
Антипример: уже упомянутый мной код if($_POST["captcha"] == $_SESSION["captcha"]) return true;
Причем этот код был написан опытным программистом.

После проверки, сохраненное значение капчи необходимо удалить. Если не сделать этого, злоумышленник сможет использовать данное значение снова неограниченное число раз. Да, при обновлении страницы с формой обновляется и капча (либо при генерации формы, либо при генерации картинки), вот только скрипт может не загружать форму снова (надо упомянуть, что это не актуально если на сайте используются одноразовые csrf-токены для форм).
Антипример: гипотетическая форма логина, в которой достаточно один раз ввести капчу правильно, и далее подбирать пароль скриптом, избегая перегенерации капчи на сервере.

Пуленепробиваемая капча

Защита от перебора. Если ваша капча устойчива к распознаванию, но не очень устойчива к перебору (например на ней надо прочитать всего 3-4 цифры), желательно ограничить число неправильных ответов «с одного ip» / «для одного логина» / etc. Такие ограничения необходимо проверять ДО проверки самой капчи (то есть даже в случае правильно введенной капчи, при наличии ограничения она не должна считаться пройденной) иначе оно не будет препятствовать перебору.

Защита от DoS. При генерации капчи на своем сервере, надо понимать что это удобный вектор проведения DoS атак (которую, в отличие от DDoS, может устроить любой школьник). Для защиты можно ограничить число генерации капчи для одного ip, кэшированием капч и т.д.

Защита от распознавания. Если вы выбираете капчу, или вдруг собираетесь написать её сами, желательно понимать какая капча более защищена от распознавания. Существуют готовые универсальные скрипты распознавания капчи, работающие по принципу OCR , а в случае если ваш сайт заинтересует спамеров есть риск, что будут использовать / писать скрипт конкретно под вашу капчу. Последнее правда относится больше к сайтам уровня Яндекс или vk, а вот вариант с защитой от банальных OCR желательно предусмотреть.

Защита от антигейтов. Если говорить формально, то капча как тест Тьюринга не обязана защищать вас от антигейтов, так как в этом случае её будет распознавать человек. С практической же точки зрения, этот вопрос весьма актуален и защищаться как-то надо.
Тут нет и не может быть «золотого стандарта» (ибо в таком случае антигейты внедрят его поддержку), поэтому вы вольны дополнять капчу любыми ухищрениями, чтобы сделать её распознавание через антигейт невозможным. Например:
- нестандартная капча (сбор паззла, поворот изображения, клик по области на фото и т.п.);
- кириллическая капча - самое простое решение, но имеет ряд минусов: подходит только для проектов с русскоязычной аудиторией, есть антигейты с поддержкой кириллицы;
- использование виртуальной клавиатуры рядом с капчей для ввода нестандартных символов или фигур (может быть неудобно пользователям мобильных);

Юзабилити

Не просите ввести капчу, если вы уже убедились, что перед вами человек. Тут однако, надо быть осторожным, чтобы форму нельзя было использовать скриптом неограниченное число раз после однократного ввода капчи человеком.
Пример: форма регистрации. Если я где-то регистрируюсь, и забыл ввести поле «почтовый индекс», но правильно ввёл капчу - не надо показывать мне новую. Потратьте 10 минут на то, чтобы сохранить где-то у себя, что вот эту конкретную форму сейчас пытается заполнить живой человек.

Для облегчения распознавания человеком: не используйте в капче одновременно буквы и цифры, не используйте одновременно прописные и строчные буквы, исключите похожие символы.

Отказ от использования капчи

Лучшая капча - отсутствие капчи. Там где можно отказаться от её использования - это надо сделать. Возможно для этого придется реализовать дополнительные лимиты и проверки, но пользователи скажут вам спасибо.
Но тут надо быть очень осторожным. Например: форма регистрации без капчи, с полем email на который приходит письмо с активацией. Без дополнительных средств защиты такую форму могут завалить «левыми» адресами, и ваш сайт включат в черные списки почтовые службы. В таком случае можно обходиться без капчи, но только если у вас есть другой рубеж защиты, вроде лимита по ip.

Кому то информация в этом топике покажется очевидной, но если бы я не сталкивался с примерами непонимания этих простых принципов в жизни, в том числе у опытных коллег-разработчиков, я бы не стал тратить время на написание этого текста.

Приветствую, дорогие читатели и гости моего блога. Сегодня расскажу, как защитить свой ресурс от спама и не дать его распространение. Рассмотрим процесс установки и использования проверочных расширений на своем сайте.

Каждый день множество пользователей сети Интернет сталкиваются с такой вещью как капча. В этой статье речь пойдёт о том, что такое капча и для чего она необходима.

Капча – что это такое

Капча – это генерируемый программой тест-проверка, что используется для определения того, кем является пользователь: ботом, что используется для рассылок спамных сообщений или человеком (с английского Captcha). В большинстве случае представляет собой картинку с искажённым набором букв. Рядом с картинкой находится поле, куда он должен ввести символы с картинки. В последнее время, часто используются и другие виды капч. Ему необходимо выбрать одну подходящую картинку из нескольких предложенных или поставить галочку в определённом месте экрана.

Главное её предназначение – защита определённых разделов ресурса от роботов, что написаны для парсинга и рассылок спама. Дело в том, что теперь все системы рассылок рекламы уже автоматизированы, и людям занимающимся рассылками спама не надо самостоятельно регистрировать аккаунты.

Капча очень полезна для владельцев ресурсов, так как убрать спам можно только таким образом. Если б не защита в виде введения проверки кода, то на большинстве популярных порталов и форумов было бы множество ботов, рассылающих спамные сообщения.

Как использовать на своём сайте капчу от гугла

Компания Google предлагает бесплатный сервис Google reCAPTCHA, что предоставляет капча для защиты различных форм ввода данных.

Как установить капчу на своём ресурсе? Чтобы использовать этот сервис на своём форуме, необходимо выполнить ряд действий, о который пойдёт речь ниже:

• Нужно войти в существующий или зарегистрировать новый аккаунт google;
• Далее необходимо перейти на страницу сервиса reCAPTCHA, и в появившемся поле ввести адрес своего портала. Далее нажать на кнопку «Регистрация», после чего откроется страница с сгенерированными ключами;
• Если вы имеете некоторые знания в программировании, интеграцию reCAPTCHA можно сделать самостоятельно. В ином случае нужно воспользоваться специальными плагинами, которые нужно установить и активировать;
• Следующий этап – настройка Для этого в боковом меню админки нужно нажать на установленный плагин, после чего появляются формы, которые нужно заполнить ключами API;
• Для тех, кто использует reCAPTCHA доступны следующие настройки: возможность включения и выключения набора капчи при авторизации и регистрации, смена цветового оформления, смена языка набора.

Приложу видео по настройке данного компонента на своем сайте:

Примеры расширений для установки капчи

На сегодня, для системы WordPress существует большое количество captca-плагинов. Отдельного внимания заслуживают несколько самых популярных инструментов из этой категории. Каждый из этих плагинов имеет разные концептуальные взгляды и обладает рядом преимуществ.

Captcha

Это один из самых популярных плагинов, так как он простой и понятен в использовании, в нем нет ничего лишнего. Используя эффективные логически схемы, плагин может полностью защитить ваш портал от спама. Основными его преимуществами являются:

• Полная совместимость с ContacForm;
• Лёгкость в установке;
• Возможность использования цифрового, словесного или смешанного отображения.

Captcha code

Плагин может добавить защиту в любые формы на ресурсе. Текст, который нужно ввести, отображается в виде букв и цифр синего цвета с зачёркнутыми линиями, которые защищают от разных распознавательных программ. Благодаря этому, спам на ресурсах, где установлен данный плагин, почти не появляется. Исполнителям распознать код – довольно легко. Плагин отличается множеством настроек – администратор может выбрать количество символов в капче, а также, для каких форм её выводить. Основные преимущества:

• Скорость настройки;
• Читабельность текста;
• Плагин сложно обойти программам для распознавания текста.

WP-reCAPTCHA

Этот плагин является одним из самых популярных, так как обеспечивает наилучшую защиту, но в некоторых случаях, не всем исполнителям удастся с первого раза ввести правильный код. Администраторы могут менять оформление окна капчи, а также поставить её в любую форму. Основные достоинства следующие:

• Наилучшая защита лот ботов;
• Поддержка нескольких языков;
• Возможность прослушивания кода.

Really Simple CAPTCHA

Отличается своей простотой в установке и настройке. Изначально данный портал создавался как дополнительный модуль для плагина Contact Form. Все капчи, которые появляются при заполнении форм, сохраняются во временную папку и весят несколько килобайт. Среди преимуществ можно выделить:

• Серьёзный барьер для ботов;
• Лёгкость в распознавании текста;
• Поддержка множества языков.

Secure CAPTCHA

Плагин отличается тем, что используется рукописный код, что существенно усложняет работу программ-дешифровщиков для взлома. Для исполнителей такая капча также будет несколько сложной. Для того чтобы установить этот плагин, нужно зарегистрироваться на сайте разработчика и получить специальные ключи.

Как зарабатывать на капче деньги

Заработок на капче – один из самых простых и лёгких способов заработка в интернете, ведь пользователю для не требуется никаких профессиональных навыков. Оплата за одну капчу – довольно невысокая. Если уделять этому по несколько часов в день, заработать на вводе капч можно вполне неплохую сумму. Среди большого разнообразия сайтов по заработку капч можно выделить 5 лучших. На них и оплата выше, и есть гарантия того, что ваша робота будет оплачена.

RuCaptcha

RuCaptcha – самый популярный сайт для заработка денег в Рунете. Сервис решает задачи, что касаются расшифровки различных изображений, которые используются различными ресурсами для защиты от программ, что освобождает веб-мастера от монотонной работы. Минимальная цена за капчу составляет 0,01 руб.

Одной из главных особенностей является то, что в ночное время цена за работу увеличивается в 2 раза. Также, если у исполнителя есть высокий рейтинг, ему попадаются капчи с большей стоимостью. Вводить символы необходимо с осторожностью, поскольку на сервисе негативно относятся к ошибкам. При первых ошибках, пользователя предупредят, при последующих возможна блокировка аккаунта на некоторое время, от нескольких минут до двух суток. В сравнении с другими сервисами для заработка денег, RuCaptcha имеет следующие преимущества:

• Удобный внешний интерфейс;
• Выплата заработанных денег возможна на такие платёжные системы – Яндекс.Деньги, Вебмани, OKPAY;
• За ввод сложных капч пользователь может получить дополнительные деньги;
• Возможность выбора капч только на русском или английском языке;
• RuCaptcha постоянно совершенствуется.

2Captcha

2Captcha – это англоязычный портал по заработку на капче, что является одним из первых, что появились в данной сфере. Внешний вид оформлен в таком же стеле як и RuCaptcha. На сайте постоянно трудится несколько сотен тысяч пользователей. Алгоритм работы заключается в следующем: Пользователь входит в систему, после чего вебмастер посылает ему задание. Если исполнителей несколько, то задание посылается тому, кто дольше всех ожидает. Стоимость 1000 введённых капч начинается от 35 центов, и может достигать 80 центов за введение более сложных капч.

2Captcha – проверенный сайт, на котором никогда не возникает задержек в выплате денег. Минимальная стоимость вывода - 0,5 долларов. Вывод может осуществляться на Вебмани, PayPal, а также на банковские карты Виза и Мастеркард.

Megatypers

Этот портал был создан сравнительно недавно, но за короткий промежуток времени является одним из самых популярных. Портал – зарубежный, поэтому интерфейс полностью на английском. В отличие от других сайтов, на этом пользователи могут зарабатывать на распознавании звуковых капч. Также на сайте довольно хорошо реализована реферальная система, что позволяет исполнителю с большим количеством рефералов получать неплохие дивиденды. Для регистрации аккаунта на Megatypers необходимо ввести инвайт-код. Оплата за капчу может достигать 0,01 доллара. Минимальная сумма вывода составляет 3 доллара. Выплачиваются деньги каждый понедельник.

Kolotibablo

Данный сервис является первым среди сайтов, которые специализируются на вводе капчи. Со временем его модернизировали, и теперь он имеет очень приятный дизайн. Капчи бывают как на кириллице языке, так и на латинице. В среднем, стоимость 1000 капч составляет 0,7 доллара. За более сложные задания можно заработать вплоть до 1,5 у. е. Выплата производится на Yandex.Money, Qiwi Wallet, Paypal, Payza при минимальной сумме в 1 доллар.

Antigate

Antigate – популярный в Рунете портал, что функционально очень похож на Kolotibablo. За одну введённую капчу исполнитель получает от 0,02 руб и больше. На Antigate есть партнёрская программа, что предусматривает выплату в 10% за приглашённых в систему исполнителей. Вывод заработанных средств осуществляется через платёжную систему Вебмани. Вывод начинается от 2 долларов.

Используйте данные способы и не пропускайте спам на своем ресурсе, а если есть свободное время не забываем подзаработать. Всех благ -))).

0 Безусловно, вы уже имеете представление, что значит Капча , а быть может не раз уже с ней встречались, но вряд ли знали, что у этой неразборчивой и кривой надписи, которую следует вводить при регистрации имеется название. Так вот, кто ещё не в курсе, её называют Капчей . Оно произошло от английского слова "captcha ". Хочу посоветовать вам ещё несколько толковых публикаций на тематику интернет жаргона, например, что такое Яшка , что значит Ютуб , как понять термин Юзать , что означает слово Эпик и т. п.

Капча по сути , создана для того, чтобы в автоматическом режиме удостовериться является пользователь человеком или ботом-программой. Как правило, в большинстве случаев имеет внешний вид кривоватой надписи, которая может быть в различных цветовых сочетаниях/, наложения дополнительных линий и добавления искусственного шума.

Функции и назначение Капчи

Для чего потребовалась Капча? Ведь по большей части такое нововведение способно оттолкнуть придирчивого пользователя. Если вы частый посетитель социальной сети Вконтакте, то вы вероятно в курсе, что при максимальном количестве кликов или действий в короткий промежуток времени может вызвать появление Капчи . Например, если вы часто отсылаете сообщения своим друзьям (примерно сообщение в секунду), то тут же появится Капча, и ненавязчиво потребует, доказательств, что вы не бот. Скорее всего в данном случае программа заподозрила вас в спаме, а это весьма серьёзный проступок на просторах всемирной паутины. Создатели Капчи предполагают, что боты вряд ли смогут прочесть кривой текст с рисунка, поэтому тот кто её ввёл правильно определённо является человеком.

Капча - это вынужденная мера, которая должна защитить сайты от повышенной нагрузки при атаках роботов или от массовой рассылки спамных сообщений

Хотя со временем программисты создают таких ботов, что некоторые из них способны сломать простую Капчу. Как бы ни была сложна защита со временем и для неё найдётся свой ключик. Сейчас многие кодеры увлеклись нейронными самообучающимися сетями . Для них специально вытаскиваются десятки, если не сотни тысяч картинок капчи, чтобы те их смогли опознать в дальнейшем. Существуют особые сервисы, где сидят тысячи китайцев и распознают Капчу по заказу за небольшую плату.

Хотелось бы добавить про так называемую математическую Капчу . Она может быть, как очень сложной, так и совсем простой. Большинству пользователей пришлась по душе Капча в которой требуется вычесть или сложить пару чисел. Это намного удобней, чем сидеть несколько минут и придирчиво разбирать кривой текст. Хотя во всём нужна мера, если вы сделаете Капчу более сложной, то не все пользователи смогут решить необходимую задачу.

CAPTCHA - сокращение от английского Completely Automated Public Turing test to tell Computers and Humans Apart – полностью автоматизированный публичный тест Тьюринга для различия компьютеров и людей. В рунете нередко можно слышать транскрипцию «капча» .

По сути своей CAPTCHA это небольшой тест, с которым легко может справиться человек, но компьютеру решить эту задачу на несколько порядков тяжелее. Основаны тесты на работе органов чувств человека и логики.

Применяется данный тест с одной целью - предотвратить доступ ботов к отправке или публикации на сайтах спам-информации, скачивания каких-либо материалов.

Методы CAPTCHA

Подавляющее большинство методов CAPTCHA предлагает зрительное распознавание графической информации, реже анализ и/или некоторое вычисление и ввод в специальном поле распознанной информации. Рассмотрим наиболее распространённые методы.

1. Самый распространённый метод: пользователю предлагают ввести цифры/символы, изображённые на рисунке . Как правило, символы искажены, размыты, зашумлены помехами.

2. Пользователю предлагается изображение с написанными текстом цифрами и ввести цифры.

3. Пользователю предлагается выполнить простое арифметическое или логическое действие и ввести результат. Метод может быть усложнён сочетанием с предидущим.

4. Метод, основанный на человеческих чувствах, знаниях и ощущениях - из предложенного ряда изображений выбрать правильное, удовлетворяющее поставленному вопросу. Например, из нескольких лиц выбрать красивое. Или из предложенных фруктов выбрать яблоко.

5. Метод, основанный на распознавании человеческой речи .

5. Video-CAPTCHA . Любой из первых трёх методов, в котором вместо изображения информация передаётся пользователю с помощью видеоряда, где буквы и символы находятся в постоянном движении.

Варианты 1, 2 и 3 легкопереносимы с сервиса на сервис и легконастраиваемы. Они не требовательны к хостингам, нересурсоёмки. В то же время, степень защиты остаётся достаточно высокой (при правильной настройке). Методы 4, 5, 6 требуют более серьёзной настройки либо подключение к специализированным сервисам, предоставляющим услуги CAPTCHA.

Самым распространённым является метод 1 - дублирование изображённых символов и букв в специальном поле. Методы, основанные на человеческих знаниях и чувствах, а также связанные с арифметическими или логическими действиями, зависят от менталитета, грамотности посетителя или норм морали, принятых на территории проживания. Это может давать неверные трактования капчи, соответственно, ошибки при тестировании. Естественно, подобные действия могут привести к оттоку посетителей с сайта.

Ошибки, уязвимости и методы противодействия/защиты

Главная возможная ошибка - ошибка или недостаточная профессиональная подготовка программиста к написанию или установке кода капчи. Ошибки программирования капчи позволяют ботам обходить защиту, оставляя реальным посетителям прохождение теста.

Достаточно яркий пример. Вызов картинки CAPTCHA через явное указание проверочного кода, передачей его в качестве параметра вызова изображения: , где «hqhqhq» фигурирует в качестве запрашиваемого кода подтверждения. Уязвимость реализации очевидна: бот сканирует код страницы и выделяет проверочный код, подставляя его в соответствующее поле. Ваша защита ботом пройдена в доли секунды, а реальному человеку понадобится несколько секунд или даже минут на ввод проверочного кода.

Существует метод перебора , применяемый ботами. Капча всегда связана с сессией посетителя. При сравнительно небольшом варианте значений CAPTCHA , бот, регистрируя сессию, последовательно перебирает все варианты, рано или поздно угадывая верное значение.

Здравствуйте, уважаемые читатели блога сайт. Многие из вас только начиная свое знакомство с интернетом, кроме составляющих и ), при регистрации также сталкиваются еще и с такой вещью, как капча.

Например, вас могли попросить ввести в поле те символы, что вы видите на расположенной выше картинке, или выполнить простейшее арифметическое действие. Иногда просят указать те картинки, где изображено что-то определенное. Все эти ребусы называют одним общим словом — CAPTCHA.

Но что это такое и зачем нужно? Слово капча образовано от английского исходника, который представляет из себя довольно сложную аббревиатуру. Приводить ее расшифровку я, думаю не стоит. Просто скажу в двух словах, что CAPTCHA — это специальный тест , призванный отличить действия человека от действий компьютера (программы, скрита). Другими словами, эта штука пользователя на предмет его человечности.

Зачем это может понадобиться? Какие виды капч бывают? Исчезнут ли они когда-нибудь, чтобы не усложнять жизнь пользователям интернета? На эти вопросы я как раз и постараюсь ответить в этой заметке.

Капча — это защита от автоматического спама

Но несомненно, что наличие этой защиты все равно существенно снижает эффективность атак и отсекает большую часть потоков спама, льющегося в интернете нескончаемым потоком. Хотелось бы, конечно, обойтись без этих ребусов, на которых теряется часть посетителей, но не получается пока.

Можно ли упростить прохождение CAPTCHA? Оказывается да!

Хотя, безусловно, шаги в нужном направлении уже совершаются. Один из лидеров онлайн-бизнеса (вряд ли вам 🙂) примерно год назад существенно упростила свою капчу (они ее называют reCAPTCHA), сделав ее прохождение наверное самым простым из возможных вариантов. Судите сами. Так выглядела CAPTCHA от Гугла раньше:

А так она выглядит сейчас:

Насколько проще поставить одну единственную галочку , а не разгадывать буквенный ребус и не искать в темноте нужные клавиши на клавиатуре (капчи ведь чаще всего именно английскими буквами вводятся).

В общем сделан шаг в нужном направлении, и по мере распространения именно этого вида защиты будет упрощаться жизнь пользователей интернета (лично я именно для защиты своих комментариев — можете сами ее опробовать прокрутив эту страниц вниз до конца).

Удачи вам! До скорых встреч на страницах блога сайт

посмотреть еще ролики можно перейдя на

");">

Вам может быть интересно

АнтиКапча - как быстро и недорого распознавать капчи и рекапчи
FAQ и ЧАВО - что это такое?
Радикал - бесплатный фотохостинг с быстрой и простой загрузкой фото через Radikal.ru Что такое спам и как бороться со спамерами в интернете Модератор - это человек делающий общение в сети возможным Почему не загружается ВК и браузер не заходит во Вконтакте FreeDogecoin - регистрация, вход и получение бесплатных догкоинов на сайте ФриДогКоин