Як Google reCAPTCHA v2 працює поза кадром?

Ця публікація стосується Google ReCaptcha v2 (не остання версія)

Нещодавно Google представив спрощену систему перевірки "captcha" ( відео ), яка дозволяє користувачам передавати "captcha" лише натисканням на неї.

Але як можна відрізнити бота від людини лише одним клацанням?

Відповідно до цієї відповіді (припускаючи аналогічну реалізацію), спочатку "recaptcha" створює прихований ключ і приєднує його до прихованого вхідного елемента, а також ліниво видає прапорець (не власне прапорець, inputале а div) тим самим ключем, який при натисканні на нього надсилає асинхронний запит (XHR) на сервери резервного сервера Google, щоб позначити його як дійсний ключ підтвердження (тобто ключ, який повинен бути підтверджений при подачі форми).

Але чому боти не можуть автоматизувати цей клік (принаймні, боти на основі браузера)?

Як це може працювати?

Це міркування, але грунтуючись на посиланні Google на "механізм аналізу ризиків", який вони використовують ( http://googleonlinesecurity.blogspot.com/2014/12/are-you-robot-introducing-no-captcha.html )

Я б припустив, що це виглядає як ви поводилися до натискання, як ваш курсор переміщався на шляху до чека (органічний шлях / прискорення), яку частину прапорця натискали (випадкові місця чи мертвий у центрі кожного разу), браузер відбиток пальців, файли cookie та вміст Google, натисніть історію місцеположень, пов’язану з вашим відбитком або обліковим записом, якщо він виявляє його тощо

Досить складно підробити "органічну" поведінку таким чином, що це обдурить двигун виявлення безперервного навчання. У тих випадках, коли це не впевнено, воно все ще запропонує вам відповідати дійсному рядку CAPTCHA.

Вийшов новий документ з кількома тестами на reCAPTCHA:

https://www.blackhat.com/docs/asia-16/materials/asia-16-Sivakorn-Im-Not-a-Human-Breaking-the-Google-reCAPTCHA-wp.pdf

Деякі основні моменти:

• Зберігаючи файл cookie активним протягом +9 днів (переглядаючи сайти з ресурсами Google), ви можете передати reCAPTCHA, лише натиснувши прапорець;
• Немає обмежень на основі запитів на IP;
• Агент користувача браузера повинен бути справжнім, і Google запускає тести на ваше середовище, щоб переконатися, що він відповідає агенту користувача;
• Google перевіряє, чи може браузер відображати полотно;
• Роздільна здатність екрана та події миші не впливають на результати;

Google уже виправив вразливість файлів cookie і, ймовірно, обмежує деякі поведінки на основі IP-адрес.

Ще одне цікаве висновок полягає в тому, що Google запускає VM в JavaScript, що обтяжує велику частину коду і поведінки reCAPTCHA. Цей VM відомий як ботгард і використовується для захисту інших служб, крім reCAPTCHA:

https://github.com/neuroradiology/InsideReCaptcha

ОНОВЛЕННЯ 2017 року

Нещодавній документ (з серпня) був опублікований на WOOT 2017, що досягає 85% точності у вирішенні звукових завдань noCAPTCHA reCAPTCHA:

http://uncaptcha.cs.umd.edu/papers/uncaptcha_woot17.pdf

ОНОВЛЕННЯ 2018 року

Google представляє reCAPTCHA v3, який виглядає як "двигун прогнозування людської оцінки", який калібрується на веб-сайті. Його можна встановити на різні сторінки веб-сайту (працює як сценарій Google Analytics), щоб допомогти reCAPTCHA та власнику веб-сайту зрозуміти поведінку людей проти ботів перед тим, як заповнити reCAPTCHA.

https://www.google.com/recaptcha/intro/v3beta.html

Мої боти добре працюють проти ReCaptcha.

Ось моє рішення.

Дозвольте вашому Боту зробити ці кроки:

Спочатку напишіть функцію переміщення людини миші, щоб перемістити мишу як B-Spline (запитайте мене про вихідний код). Це найважливіший пункт.

Також для кращих результатів використовуйте VPN, наприклад https://www.purevpn.com

Для кожного Recpatcha виконайте ці кроки:

1. Якщо ви спочатку використовуєте IP-комутатор VPN

2. Очистити всі файли cookie браузера

3. Очистити весь кеш браузера

4. Встановіть один із цих Useragents випадковим чином:

   а. Mozilla / 5.0 (сумісний; MSIE 9.0; Windows NT 6.1; Trident / 5.0)

   б. Mozilla / 5.0 (Windows NT 6.1; WOW64; rv: 44.0) Gecko / 20100101 Firefox / 44.0

5 Перемістіть мишу за допомогою миші людини Перемістіть функцію з RandomPoint у зображення Я не робот кожен раз з різним 10x10 випадковим діапазоном

6. Потім натисніть будь-коли із випадковою затримкою між

   WM_LBUTTONDOWN

   і

   WM_LBUTTONUP

7. Візьміть знімок екрана з зображення Captcha

8. Надіслати знімок екрана на

   http://www.deathbycaptcha.com

   або

   https://2captcha.com

і нехай вони вирішують.

9. Після отримання кооридинатів клацань від рішення Captcha використовуйте для переміщення функцію Human Mouse Funktion та натисніть Recaptcha Images

10. Використовуйте функцію "Людина миші" для переміщення та натисніть кнопку підтвердження Recaptcha

У 75% всі спроби Recaptcha вирішені

Подирає Google

Том

Чи можу висловити свою здогадку, оскільки це не відкрита технологія.

Google каже, що мова йде про комбінування інформації від раніше, під час, після того, як відрізнити людину від робота. Але мене більше цікавить той останній клацання прапорець.

Скажімо, дані POST (вирішено CAPTCHA) мають поле під назвою fingerprint - рядок, обчислений з поведінки користувача. Я думаю, що може бути поле про місце розташування цього прапорця. Я думаю, що цей прапорець знаходиться в системі координат, випадковим чином генерується резервним кодом Google і шифрується відкритим ключем мого сайту. Так, робот може «вгадати / обчислити» місцеположення про це поле, але коли власник сайту робить GET-запит із приватним ключем, щоб перевірити особу користувача, Google розшифрує систему координат і скаже, чи користувач натисне потрібне місце. Отже, лише одна можлива клацання правою кнопкою миші (з деякими зміщеннями, це квадратне поле) у цій випадковій системі координат, яка належить лише власникам Google та власникам сайтів.

Пам'ятайте, що Google також використовує reCaptcha разом із

Canvas fingerprinting 

унікально розпізнавати Користувача / Браузери без файлів cookie!