这个 PHP 验证码脚本有什么问题？答案

【问题标题】：What is wrong with this PHP captcha script?这个 PHP 验证码脚本有什么问题？
【发布时间】：2012-07-05 09:39:25
【问题描述】：

我已经使用这个脚本很长时间了，它在 99% 的情况下都能完美运行。它对用户来说简单明了，我想继续使用它。

但是，偶尔有一个稀疏的用户告诉我，当数字正确时，系统不接受他的验证码（错误代码）。每次我都在检查他们的 cookie 设置、清除缓存等，但在这些情况下似乎没有任何效果。

因此，我的问题是，此脚本的代码中是否有任何原因可以解释异常情况下的故障？

session_start();

$randomnr = rand(1000, 9999);
$_SESSION['randomnr2'] = md5($randomnr);

$im = imagecreatetruecolor(100, 28);
$white = imagecolorallocate($im, 255, 255, 255);
$grey = imagecolorallocate($im, 128, 128, 128);
$black = imagecolorallocate($im, 0,0,0);

imagefilledrectangle($im, 0, 0, 200, 35, $black);

$font = '/img/captcha/font.ttf';

imagettftext($im, 30, 0, 10, 40, $grey, $font, $randomnr);
imagettftext($im, 20, 3, 18, 25, $white, $font, $randomnr);

// Prevent caching
header("Last-Modified: " . gmdate("D, d M Y H:i:s") . " GMT");
header("Cache-Control: no-cache, must-revalidate"); // HTTP/1.1
header("Expires: Sat, 26 Jul 1997 05:00:00 GMT"); // Date in the past3
header("Cache-Control: post-check=0, pre-check=0", false);
header("Pragma: no-cache");

header ("Content-type: image/gif");

imagegif($im);
imagedestroy($im);

在我的表单中，我将此脚本称为验证码图像的来源。发送表单后，验证码是这样检查的：

if(md5($_POST['norobot']) != $_SESSION['randomnr2']) {
    echo 'Wrong captcha!';
}

请注意session_start();在表单页面和表单结果页面被调用。

如果有人能查明此脚本中潜在的错误原因，我将不胜感激！

P.S.：我知道验证码脚本的缺点。我知道某些机器人仍然可以读出它们。我不想使用 Recaptcha，因为它对我的用户来说太难了（不同的语言 + 很多次老用户）。我也知道 md5 很容易解密。

编辑编辑编辑编辑编辑编辑编辑编辑编辑编辑编辑编辑编辑编辑编辑编辑编辑编辑编辑编辑编辑

按照 Ugo Méda 的说法，我一直在做一些实验。这是我创建的（为方便起见进行了简化）：

表格

// Insert a random number of four digits into database, along with current time
$query   = 'INSERT INTO captcha (number, created_date, posted) VALUES ("'.rand(1000, 9999).'", NOW(),0)';
$result  = mysql_query($query);

// Retrieve the id of the inserted number
$captcha_uid = mysql_insert_id();

$output .= '<label for="norobot"> Enter spam protection code';
// Send id to captcha script
$output .= '<img src="/img/captcha/captcha.php?number='.$captcha_uid.'" />'; 
// Hidden field with id 
$output .= '<input type="hidden" name="captcha_uid" value="'.$captcha_uid.'" />'; 
$output .= '<input type="text" name="norobot" class="norobot" id="norobot" maxlength="4" required  />';
$output .= '</label>';

echo $output;

验证码脚本

$font = '/img/captcha/font.ttf';

connect();
// Find the number associated to the captcha id
$query = 'SELECT number FROM captcha WHERE uid = "'.mysql_real_escape_string($_GET['number']).'" LIMIT 1';
$result = mysql_query($query) or trigger_error(__FUNCTION__.'<hr />'.mysql_error().'<hr />'.$query);
if (mysql_num_rows($result) != 0){          
    while($row = mysql_fetch_assoc($result)){
        $number = $row['number'];
    }
} 
disconnect();

$im     = imagecreatetruecolor(100, 28);
$white  = imagecolorallocate($im, 255, 255, 255);
$grey   = imagecolorallocate($im, 128, 128, 128);
$black  = imagecolorallocate($im, 0,0,0);

imagefilledrectangle($im, 0, 0, 200, 35, $black);
imagettftext($im, 30, 0, 10, 40, $grey, $font, $number);
imagettftext($im, 20, 3, 18, 25, $white, $font, $number);

// Generate the image from the number retrieved out of database
header("Last-Modified: " . gmdate("D, d M Y H:i:s") . " GMT");
header("Cache-Control: no-cache, must-revalidate"); // HTTP/1.1
header("Expires: Sat, 26 Jul 1997 05:00:00 GMT"); // Date in the past3
header("Cache-Control: post-check=0, pre-check=0", false);
header("Pragma: no-cache");
header ("Content-type: image/gif");

imagegif($im);
imagedestroy($im);

表单的结果

function get_captcha_number($captcha_uid) {
    $query = 'SELECT number FROM captcha WHERE uid = "'.mysql_real_escape_string($captcha_uid).'" LIMIT 1';
    $result = mysql_query($query);
    if (mysql_num_rows($result) != 0){          
        while($row = mysql_fetch_assoc($result)){
            return $row['number'];
        }
    } 
    // Here I would later also enter the DELETE QUERY mentioned above...
}
if($_POST['norobot'] != get_captcha_number($_POST['captcha_uid'])) {
    echo 'Captcha error'
    exit;
}

这很好用，非常感谢这个解决方案。

但是，我在这里看到了一些潜在的缺点。我注意到至少有 4 个查询，并且感觉我们正在做的事情有点资源密集。此外，当用户多次重新加载同一页面时（只是为了成为一个混蛋），数据库会很快填满。当然，这会在下次提交表单时全部删除，但尽管如此，你能和我一起讨论一下这个可能的替代方案吗？

我知道通常不应该加密/解密。然而，由于验证码本质上是有缺陷的（因为机器人的图像读取），我们不能通过加密和解密发送到captcha.php 脚本的参数来简化过程吗？

如果我们这样做会怎样（跟随the encrypt/decrypt instructions of Alix Axel）：

1) 像这样加密一个随机的四位字符：

$key = 'encryption-password-only-present-within-the-application';
$string = rand(1000,9999);
$encrypted = base64_encode(mcrypt_encrypt(MCRYPT_RIJNDAEL_256, md5($key), $string, MCRYPT_MODE_CBC, md5(md5($key))));

2) 将带有参数的加密数字发送到图像脚本并存储在隐藏字段中

<img src="/img/captcha.php?number="'.$encrypted.'" />
<input type="hidden" name="encrypted_number" value="'.$encrypted.'" />

3) 解密验证码脚本中的数字（通过 $_GET 发送）并从中生成图像

$decrypted = rtrim(mcrypt_decrypt(MCRYPT_RIJNDAEL_256, md5($key), base64_decode($encrypted), MCRYPT_MODE_CBC, md5(md5($key))), "\0");

4) 再次解密表单提交上的数字以与用户输入进行比较 $decrypted = rtrim(mcrypt_decrypt(MCRYPT_RIJNDAEL_256, md5($key), base64_decode($encrypted), MCRYPT_MODE_CBC, md5(md5($key))), "\0");
if($_POST['norobot'] != $decrypted) { echo '验证码错误！'; 出口; }

同意，这有点“隐蔽的安全性”，但它似乎提供了一些基本的安全性并且仍然相当简单。或者这种加密/解密操作本身是否会占用大量资源？

有人对此有什么意见吗？

【问题讨论】：

你确定其他进程不会破坏会话吗？
好话。我很确定，因为在 99% 的情况下它都能完美运行（而且过程始终相同）。
您是否记录了失败的请求？即您认为发送给他们的号码以及他们输入的内容。你检查过这些数据吗？也许您可以在此表单和数字生成器中添加一个时间戳，以查看在提交表单之后但在提交之前是否可能执行第二个请求。
是的，这就是我在第二个请求中所暗示的 ;-)
一旦你找到了图片上的数字，你只需要修改隐藏的输入来重用加密链，对应的数字将永远相同，服务器永远无法检查以前用过吗。

标签： php session captcha

【解决方案1】：

不要只依赖 SESSION 值，原因有两个：

您的会话可能会过期，因此在某些情况下无法正常工作
如果用户在同一页面上打开另一个选项卡，您会出现奇怪的行为

使用某种标记：

在您输出表单时生成一个随机 ID，将其与预期数字（以及当前日期/时间）一起放入您的数据库中
使用此 ID 生成您的图像
在表单中使用 ID 添加隐藏输入
收到 POST 后，从数据库中获取预期值并进行比较
删除此令牌和所有旧令牌（例如WHERE token == %token AND datetime < DATE_SUB(NOW(), INTERVAL 1 HOUR)）

【讨论】：

聪明的混蛋:-)。由于您提到的原因，我很清楚地知道，出于验证目的而依赖会话并不是一个好主意。我将尝试根据您的建议创建一个合适的解决方案，并尽快回复您！
嗨，我已经用你的建议的一个例子更新了我的答案。此外，我还提出了一个可能的替代方案，希望您能提出意见。
感谢您回答我的问题。我现在有你的解决方案的工作版本。不过，你能看看我对另一个版本的最后评论吗？

【解决方案2】：

有时会发生某些访问者可能在代理后面，或者他们的计算机上有一个插件/软件可以对某些文件进行双重请求。我在开发我的项目时发现了这一点，并且有一些我完全忘记的 Chrome 插件。

由于您的访问者很少，因此有可能是这种情况。以下是我调试问题所遵循的步骤（请记住，这是一个开发环境，我可以直接在网站上修改代码）：

当访问者报告问题时，为他们启用“调试”，这意味着我会将他们的 IP 添加到验证码生成器配置中的调试数组中。这将执行以下操作：

以微时间格式获取图像的生成时间。
在文件系统某处的日志文件中写入对验证码页面的每个请求，格式类似于：ip|microtime|random_numbers
查看用户IP地址发出的请求的日志，看看是否有在10秒左右的范围内的关闭请求。如果有，那么有一些东西正在向您的验证码页面发出第二个请求，并且它正在生成一个新的代码，访问者看不到该代码。

您还需要确保在清除用户缓存后，用户在每次刷新页面时看到的数字都不同。浏览器端可能有一个古怪的行为，它仍然可以显示一个旧的缓存副本（在 Firefox 上看到它，你必须清除缓存，重新启动浏览器，再次清除缓存，然后它才能正常工作）。

如果是这种情况，您可以对脚本进行简单的基于时间的添加，执行以下操作：

生成新的验证码图片时，检查会话中是否已经设置了验证码。如果已设置，请检查它们的生成时间，如果小于 10 秒，则显示相同的数字。如果超过 10 秒，则显示新数字。此方法的唯一警告是，每次使用时都必须取消设置会话中的验证码变量。

示例代码如下：

<?php

// begin generating captcha:

session_start();

if (
   empty($_SESSION['randomnr2']) // there is no captcha set
   || empty($_SESSION['randomnr2_time'])  // there is no time set
   || ( time() - $_SESSION['randomnr2_time']  > 10 ) // time is more than 10 secs
) {
   $randomnr = rand(1000, 9999);
   $_SESSION['randomnr2'] = md5($randomnr);
   $_SESSION['randomnr2_time'] = microtime(true); // this is the time it was 
                                                  // generated. You can use it 
                                                  // to write in the log file
}


// ...
?>

【讨论】：