Cookie欺騙騰訊拍拍秒殺活動(dòng)的驗(yàn)證碼漏洞

作者：zetsin 2010-12-05 19:36:32

有誰(shuí)還記得大概幾年前突然出現(xiàn)了驗(yàn)證碼這東西，許多網(wǎng)站甚至桌面應(yīng)用程序都陸續(xù)實(shí)現(xiàn)了驗(yàn)證碼技術(shù)，主要作用無(wú)非就是防止用戶利用程序進(jìn)行自動(dòng)提交，避免暴力破解，避免服務(wù)器遭受惡意攻擊。

首先我想討論一下驗(yàn)證碼這玩意兒。

那么，驗(yàn)證碼機(jī)制又該如何實(shí)現(xiàn)。

目前主流的實(shí)現(xiàn)技術(shù)主要有session和cookie兩種方式，而這兩種方式可以說(shuō)技術(shù)是一樣的，區(qū)別在于將驗(yàn)證碼字符串存儲(chǔ)在服務(wù)器還是客戶端。

前者工作流程：服務(wù)器發(fā)送驗(yàn)證碼圖片到客戶端并在服務(wù)器保存驗(yàn)證碼字符串到session，用戶辨認(rèn)圖片并提交驗(yàn)證碼字符串到服務(wù)器，服務(wù)器將用戶提交的驗(yàn)證碼字符串與session中保存的字符串進(jìn)行比較。

后者工作流程：服務(wù)器發(fā)送驗(yàn)證碼圖片以及驗(yàn)證碼字符串（可能會(huì)進(jìn)行加密）到客戶端，客戶端將驗(yàn)證碼字符串存儲(chǔ)到本地cookie，用戶辨認(rèn)圖片并提交驗(yàn)證碼字符串以及cookie中所存儲(chǔ)的字符串到服務(wù)器，服務(wù)器將用戶提交的兩個(gè)字符串（進(jìn)行解密后）進(jìn)行比較。

相對(duì)而言，存放在服務(wù)器的session更為安全，只不過(guò)消耗服務(wù)器內(nèi)存，程序員除了使用模式識(shí)別辨認(rèn)出驗(yàn)證碼，沒有其他辦法。而對(duì)于使用cookie方式的驗(yàn)證碼，不增加服務(wù)器內(nèi)存消耗，但我們可以通過(guò)對(duì)傳輸數(shù)據(jù)進(jìn)行分析輕易破解驗(yàn)證碼。

這種傳統(tǒng)的驗(yàn)證碼方式，其框架非常簡(jiǎn)單。

看上圖，我們從大的框架分析問(wèn)題，這里面說(shuō)的“提供驗(yàn)證碼服務(wù)”已經(jīng)不區(qū)分session還是cookie了。

接下來(lái)從圖中我們可以看出什么了呢，對(duì)于有多臺(tái)服務(wù)器的大企業(yè)是十分平常的，那么，假如每一個(gè)服務(wù)程序都使用驗(yàn)證碼技術(shù)，那么每一個(gè)服務(wù)程序就需要獨(dú)自實(shí)現(xiàn)驗(yàn)證碼服務(wù)，這樣做不是不可以，只是增加了程序員的負(fù)擔(dān)而已。

好吧，現(xiàn)在我們正式進(jìn)入今天的主題，也是接著上面的話題，騰訊的驗(yàn)證碼框架有何不同。

我們隨便進(jìn)入一個(gè)需要驗(yàn)證碼的騰訊頁(yè)面：

http://web2.qq.com

登錄webQQ的時(shí)候需要輸入驗(yàn)證碼，我們通過(guò)抓包或者看源代碼，可以知道點(diǎn)擊“換一張”時(shí)其實(shí)是訪問(wèn)了這個(gè)URL：http://captcha.qq.com/getimage，來(lái)自tencent http server。多嘗試幾個(gè)需要驗(yàn)證碼的頁(yè)面，發(fā)現(xiàn)其驗(yàn)證碼依然是是通過(guò)訪問(wèn)http://captcha.qq.com/getimage獲得。當(dāng)然也有例外的情況，不過(guò)總體看來(lái)騰訊的驗(yàn)證碼機(jī)制的框架與上面討論的又有些不一樣。

看到了嗎，在這種框架體系下，驗(yàn)證碼成了一個(gè)單獨(dú)的組件，不同服務(wù)器不同應(yīng)用程序都可使用它提供的驗(yàn)證碼服務(wù)接口。

具體流程

好吧，我們繼續(xù)進(jìn)一步研究騰訊驗(yàn)證碼的具體流程。

訪問(wèn)http://captcha.qq.com/getimage，看到“zqcu”驗(yàn)證碼圖片，抓包，查看響應(yīng)標(biāo)頭：

鍵值

響應(yīng) HTTP/1.1 200 OK

Server tencent http server

Accept-Ranges bytes

Pragma No-cache

Content-Length 2559

Set-Cookie verifysession=h0052f5e46e7ca7d3f1bbb1cfa3bbb2a9ea86bded65adbf78e575c50e0d361145fcd232015653790eb

4;PATH=/; DOMAIN=qq.com;

Connection close

Content-Type image/jpeg

以上就是HTTP協(xié)議中的header內(nèi)容，請(qǐng)注意其中Set-Cookie的部分，其實(shí)這就是驗(yàn)證碼“zqcu”字符串經(jīng)過(guò)加密后的密文。當(dāng)我們提交驗(yàn)證碼時(shí)，正是將我們輸入的“zqcu”和密文同時(shí)提交，然后服務(wù)器A/B再通過(guò)服務(wù)器C的驗(yàn)證接口判斷是否正確。這時(shí)候，一切浮云都是神馬了，原來(lái)騰訊驗(yàn)證碼居然采用cookie方式。

那么，接下來(lái)高手通常會(huì)有兩種做法：

第一，通過(guò)模式識(shí)別辨認(rèn)出圖片所承載的驗(yàn)證碼字符串，然后提交的時(shí)候直接發(fā)送識(shí)別的字符串。

第二，通過(guò)解密破譯出verifysession的明文。

很抱歉，我不是高手，以上兩種方法我都無(wú)能為力。所以，以下的內(nèi)容高手可繞過(guò)，到此結(jié)束了。

利用cookie欺騙繞過(guò)驗(yàn)證碼

到這里，有人可能會(huì)罵，你這不是標(biāo)題黨么，什么cookie欺騙，什么漏洞，啥都沒。

好吧，接下來(lái)講講我的方法，就是利用cookie欺騙繞過(guò)驗(yàn)證碼。

剛才我們?cè)L問(wèn)http://captcha.qq.com/getimage的時(shí)候已經(jīng)獲得一個(gè)驗(yàn)證碼圖片，利用人眼識(shí)別技術(shù)，知道它的驗(yàn)證碼字符串為“zqcu”，并且截獲了其密文verifysession。

于是，我便開始嘗試每次提交都提交“zqcu”并且將cookie設(shè)為已知的verifysession。嘿嘿，我可以把入哥的介紹信多復(fù)印好幾份嘛。

如果真的那么簡(jiǎn)單的話，騰訊也太二了。

第一次提交的時(shí)候，我十分驚喜，居然成功欺騙了服務(wù)器。

可是當(dāng)我再次使用這一組驗(yàn)證碼及其密文，卻返回驗(yàn)證碼錯(cuò)誤的提示。我的猜想是，某個(gè)驗(yàn)證碼用過(guò)之后，不能馬上再次使用，也許要過(guò)1分鐘或者1個(gè)小時(shí)之后才能使用，這是一個(gè)我稱之為過(guò)期機(jī)制的坎。也就是說(shuō)，當(dāng)洪哥問(wèn)入哥，這是你寫的介紹信么，入哥看了看，說(shuō)是，然后給這封信添了一個(gè)標(biāo)志。

發(fā)現(xiàn)了這個(gè)坎，那么悲劇了。

現(xiàn)在我能做的事只有：提前獲得幾組甚至幾百幾千組驗(yàn)證碼（需要人眼識(shí)別，人手輸入）及其密文。而且所獲得的驗(yàn)證碼還不能閑置太長(zhǎng)時(shí)間，入哥可能將同一份介紹信發(fā)給兩個(gè)人，當(dāng)別人先用了它，那么我要過(guò)一段時(shí)間才能再用。

注意上面提到了提前兩字，但是同樣需要人工識(shí)別并輸入，這到底有什么用呢。

在做什么事情的時(shí)候我們是帶著這樣一個(gè)目的的：提前輸入好幾組驗(yàn)證碼，在特定時(shí)間連續(xù)并快速的提交。

好吧，我不多說(shuō)了，看看標(biāo)題，我們開始暴力秒殺吧。

拍拍秒殺流程如下：商品有一個(gè)秒殺時(shí)間，當(dāng)?shù)搅诉@個(gè)時(shí)間，成千上萬(wàn)的玩家開始填寫驗(yàn)證碼并點(diǎn)擊提交，先到先得。

于是，有了cookie欺騙，我可以提前輸入驗(yàn)證碼，當(dāng)時(shí)間一到，只要提交即可。

今天就講到這里吧，大家可以暢所欲言，提出疑問(wèn)或者指出錯(cuò)誤的地方。最后附上我做的拍拍秒殺助手，為了圖個(gè)方便用的c#編程，所以需要.net farmework環(huán)境，有興趣的同學(xué)可以將其改寫成c++。

PS：修改本地cookie非常簡(jiǎn)單，但是，騰訊這里的Set-Cookie并不是保存到本地的cookie，它是一個(gè)標(biāo)志為httponly的cookie，只存儲(chǔ)在標(biāo)頭。

我提供一個(gè)函數(shù)：InternetSetCookieEx()，其msdn如下：

http://msdn.microsoft.com/zh-cn/library/aa385108.aspx

附下載鏈接：http://d.namipan.com/d/efb4375ee41afae5932279334313c00442c995d2ee600800

【編輯推薦】