飞机查询网站开发的创新点,做热区的网站,北京网站设计制作,做视频网站需要什么服务器前言
由于网站注册入口容易被黑客攻击#xff0c;存在如下安全问题#xff1a;
暴力破解密码#xff0c;造成用户信息泄露短信盗刷的安全问题#xff0c;影响业务及导致用户投诉带来经济损失#xff0c;尤其是后付费客户#xff0c;风险巨大#xff0c;造成亏损无底洞…前言
由于网站注册入口容易被黑客攻击存在如下安全问题
暴力破解密码造成用户信息泄露短信盗刷的安全问题影响业务及导致用户投诉带来经济损失尤其是后付费客户风险巨大造成亏损无底洞 所以大部分网站及App 都采取图形验证码或滑动验证码等交互解决方案 但在机器学习能力提高的当下连百度这样的大厂都遭受攻击导致点名批评 图形验证及交互验证方式的安全性到底如何 请看具体分析
一、 熊猫频道 PC 注册入口
简介熊猫频道是央视网全力打造的以大熊猫为主题以多终端、多语种为媒介的国际化新媒体产品。通过7X24小时全方位全时段直播海量原创点播微视频大熊猫野化放归、繁育交配、新生大熊猫宝宝亮相及其他珍稀物种等热点内容移动直播和专题手机端、网页端及社交平台对民众普及关于大熊猫和其他珍稀物种保护的知识向民众展示近年来中国对生物多样性保护和生态环境保护的成果。 二丶 安全分析
采用传统的图形验证码方式具体为4个英文字母,ocr 识别率在 95% 以上。 测试方法 采用模拟器OCR识别
1. 模拟器交互 private static String INDEX_URL https://www.beiwaiclass.com/user/login.do?methodsignup; Overridepublic RetEntity send(WebDriver driver, String areaCode, String phone) {RetEntity retEntity new RetEntity();try {driver.get(INDEX_URL);WebElement tabElement driver.findElement(By.xpath(//span[contains(text(),手机快捷登录)]));tabElement.click();// 输入手机号WebElement phoneElemet driver.findElement(By.id(p_mobile_reg_phone));phoneElemet.sendKeys(phone);WebElement getCodelement driver.findElement(By.className(phoneCode));getCodelement.click();Thread.sleep(1 * 1000);byte[] imgByte GetImage.callJsById(driver, picForVerify);int len (imgByte ! null) ? imgByte.length : 0;// 调用 ddddOcr 识别图像验证码String imgCode (len 10) ? ddddOcr.getImgCode(imgByte) : null;if (imgCode null || .equals(imgCode)) {System.out.println(len len ,imgCode imgCode);return null;}By byInput By.id(validateNumber_quick);driver.findElement(byInput).sendKeys(imgCode);getCodelement.click();Thread.sleep(1000);WebElement msgElement driver.findElement(By.className(time));String gtInfo (msgElement ! null msgElement.isDisplayed()) ? msgElement.getText() : null;retEntity.setMsg(imgCode - gtInfo);if (gtInfo ! null gtInfo.contains(s)) {retEntity.setRet(0);ddddOcr.saveFile(BeiWaiClass, imgCode, imgByte);} else {gtInfo ,imgCode imgCode;retEntity.setMsg(gtInfo);}return retEntity;} catch (Exception e) {System.out.println(e.toString());retEntity.setRet(-1);retEntity.setMsg(e.toString());} finally {driver.manage().deleteAllCookies();}return retEntity;}
2. 获取图形验证码 public static byte[] callJsById(WebDriver driver, String id) {return callJsById(driver, id, null);}public static byte[] callJsById(WebDriver driver, String id, StringBuffer base64) {String js let c document.createElement(canvas);let ctx c.getContext(2d);;js let img document.getElementById( id ); /*找到图片*/ ;js c.heightimg.naturalHeight;c.widthimg.naturalWidth;;js ctx.drawImage(img, 0, 0,img.naturalWidth, img.naturalHeight);;js let base64String c.toDataURL();return base64String;;String src ((JavascriptExecutor) driver).executeScript(js).toString();String base64Str src.substring(src.indexOf(,) 1);if (base64 ! null) {base64.append(base64Str);}byte[] vBytes (base64Str ! null) ? imgStrToByte(base64Str) : null;return vBytes;}
3.图形验证码识别Ddddocr public String getImgCode(byte[] bigImage) {try {if (ddddUrl null) {System.out.println(ddddUrl ddddUrl);return null;}long time (new Date()).getTime();HttpURLConnection con null;String boundary ---------- String.valueOf(time);String boundarybytesString \r\n-- boundary \r\n;OutputStream out null;URL u new URL(ddddUrl);con (HttpURLConnection) u.openConnection();con.setRequestMethod(POST);con.setConnectTimeout(10000);con.setReadTimeout(10000);con.setDoOutput(true);con.setDoInput(true);con.setUseCaches(true);con.setRequestProperty(Content-Type, multipart/form-data; boundary boundary);out con.getOutputStream();if (bigImage ! null bigImage.length 0) {out.write(boundarybytesString.getBytes(UTF-8));String paramString Content-Disposition: form-data; name\image\; filename\ bigNxt.gif \\r\n;paramString Content-Type: application/octet-stream\r\n\r\n;out.write(paramString.getBytes(UTF-8));out.write(bigImage);}String tailer \r\n-- boundary --\r\n;out.write(tailer.getBytes(UTF-8));out.flush();out.close();StringBuffer buffer new StringBuffer();BufferedReader br new BufferedReader(new InputStreamReader(con.getInputStream(), UTF-8));String temp;while ((temp br.readLine()) ! null) {buffer.append(temp);}String ret buffer.toString();if (ret.length() 1) {System.out.println(ddddUrl ddddUrl ret buffer.toString());}return buffer.toString();} catch (Throwable e) {logger.error(ddddUrl ddddUrl ,e e.toString());return null;}}public void saveFile(String factory, String imgCode, byte[] imgByte) {try {String basePath ConstTable.codePath factory /;File ocrFile new File(basePath imgCode .png);FileUtils.writeByteArrayToFile(ocrFile, imgByte);} catch (Exception e) {logger.error(saveFile() e.toString());}}
4. 图形OCR识别结果 5. 测试返回结果 三 丶测试报告 四丶结语
熊猫频道作为央视的子频道 采用的还是老一代的图形验证码已经落伍了 用户体验一般容易被破解 一旦被国际黑客发起攻击将会对老百姓形成骚扰影响声誉。 很多人在短信服务刚开始建设的阶段可能不会在安全方面考虑太多理由有很多。 比如“ 需求这么赶当然是先实现功能啊 ”“ 业务量很小啦系统就这么点人用不怕的 ” “ 我们怎么会被盯上呢不可能的 ”等等。 有一些理由虽然有道理但是该来的总是会来的。前期欠下来的债总是要还的。越早还问题就越小损失就越低。 谷歌图形验证码在AI 面前已经形同虚设所以谷歌宣布退出验证码服务 那么当所有的图形验证码都被破解时大家又该如何做好防御呢
