安全的校验Session验证码并避免绕开验证码攻击

!本文可能 超过1年没有更新,今后内容也许不会被维护或者支持,部分内容可能具有时效性,涉及技术细节或者软件使用方面,本人不保证相应的兼容和可操作性。

已经记不得是在哪个网站上看到的了,一般情况下对于验证码的校验,大家很容易写成下面这样:

1
2
3
4
5
6
7
<%
If Request.Form("SecurityCode") = Session("SecurityCode") Then
  ' TODO : Database operations
Else
  Response.Write "Security code incorrect!"
End If
%>

验证码图片产生Session(“SecurityCode”)并保存正确的验证码值,然后获得用户提交的验证码值,然后两个一比对如果一样则表示验证码正确,否则验证码错误。表面上这样的算法没有什么问题,但是对于一种特殊情况则会让验证码形同虚设。

首先我们知道,对于上面的算法有个核心的地方就是我们要访问产生验证码图片的那个文件才会有个保存验证码值的Session,然后才能对用户的输入进行正确的比对,假如有心人构造一个绕开验证码图片文件的Form然后进行提交会得到什么呢?Session(“SecurityCode”)不存在为空,如果此时用户验证码什么都不输入,这时验证码校验就形同虚设了。好,这里利用漏洞攻击的关键就是验证码的Session,我们很容易就能够让服务器不产生这个Session从而使这样的攻击变成可能。

解决的方法也很容易,校验验证码的Session是否为空或者校验用户输入的验证码是否合法,构造安全表单的关键就是永远不要相信用户的输入。下面采用校验验证码Session和用户输入的双保险办法解决这个安全问题:

1
2
3
4
5
6
7
8
9
10
11
12
13
' str为要校验的验证码,len为验证码长度
Function IsSecurityCodeValid(str, len)
  IsSecurityCodeValid = Not CBool( _
    IsEmpty(str) Or CStr(str)="" Or Len(str)<len)
End Function
 
If IsSecurityCodeValid(Request.Form("SecurityCode"), 4) AND _
   IsSecurityCodeValid(Session("SecurityCode"), 4) AND _
   Request.Form("SecurityCode") = Session("SecurityCode") Then
  ' TODO : Database operations
Else
  Response.Write "Security code incorrect!"
End If

END

若无特别说明,本网站文章均为原创,原则上这些文章不允许转载,但是如果阁下是出于研究学习目的可以转载到阁下的个人博客或者主页,转载遵循创作共同性“署名-非商业性使用-相同方式共享”原则,请转载时注明作者出处谢绝商业性、非署名、采集站、垃圾站或者纯粹为了流量的转载。谢谢合作!
请稍后...

发表评论

电子邮件地址不会被公开。 必填项已用*标注

*