便利的微网站建设,企业建网站设计,住房建设厅的网站首页,桐柏县建设局网站前言
由于网站注册入口容易被机器执行自动化程序攻击#xff0c;存在如下风险#xff1a;
暴力破解密码#xff0c;造成用户信息泄露#xff0c;不符合国家等级保护的要求。短信盗刷带来的拒绝服务风险 #xff0c;造成用户无法登陆、注册#xff0c;大量收到垃圾短信的…前言
由于网站注册入口容易被机器执行自动化程序攻击存在如下风险
暴力破解密码造成用户信息泄露不符合国家等级保护的要求。短信盗刷带来的拒绝服务风险 造成用户无法登陆、注册大量收到垃圾短信的用户投诉导致短信通道被关停。带来经济损失尤其是后付费客户需要承担被盗刷造成的大额短信费 造成亏损无底洞。 所以大部分网站及App 都采取图形验证码或滑动验证码等交互解决方案 但在机器学习能力提高的当下连百度这样的大厂都遭受攻击导致点名批评 图形验证及交互验证方式的安全性到底如何 请看具体分析
一、 AI智能的发展给行为验证带来威胁
验证码本质上自带一层答案的语义这原本是天然的区分人和自动程序的地方但在今日却未必由于AI智能及CHATGPT等大模型的发展机器要识别也变得更加容易。 1、 目标识别框架 黑产破解者为了降低攻击成本、提高破解效率通常会利用收集的大量验证码图片样本打码标注、构建模型网络、训练模型、测试模型从而得到一个可持续识别图片答案的识别。目前黑产针对验证码图片的破解最常用的主要是分类模型和相似模型。
2、 批量下载存储验证图片共需要大数万张图片。
3、 黑产训练出一个高准确度的识别模型后后续破解验证码时通过识别模型就能直接获取答案坐标。
4、 借力大模型进行升级 俗话说道高一尺魔高一丈在chatgpt大模型发展的今天行为验证的方式无论怎么变花样被破解只是时间而已被伤害的反而是真实用户。 二、 AiPPT- PC注册入口
简介成立于 2018 年是国内领先的企业营销设计云平台。集“创意供给、内容存储、在线编辑、营销协作、品牌资产管理云”五大功能于一体。对创意供应链和设计服务流程整合建立了以云端图像处理引擎为核心、涉及版权采买-设计交付-营销分发-数据分析的服务体系提供企业营销设计一站式解决方案。 三、 安全性分析报告
前端界面分析AiPPT未采取任何验证措施存在验证的安全隐患同行一般会在注册下发短信验证码时采用图形验证、行为验证方式。 四、 测试方法
前端界面分析采用的是数美的滑动验证码 网上有现成的逆向文章及视频参考不过我们这次不用逆向 只是采用模拟器的方式关键点主要模拟器交互、距离识别和轨道算法3部分。 1. 模拟器交互部分 private final String INDEX_URL https://www.aippt.cn/;Overridepublic RetEntity send(WebDriver driver, String areaCode, String phone) {try {RetEntity retEntity new RetEntity();driver.get(INDEX_URL);// tabWebElement tabElement driver.findElement(By.className(register-button));tabElement.click();Thread.sleep(100);WebElement loginElement driver.findElement(By.className(dialog-login-change-btn));loginElement.click();// 输入手机号Thread.sleep(1000);WebElement phoneElement driver.findElement(By.id(custom-validation_account));phoneElement.sendKeys(phone);// 点击发送验证码按钮Thread.sleep(1000);WebElement sendElemet ChromeDriverManager.waitElement(driver, By.xpath(//button/span[contains(text(),获取验证码)]), 10);if (sendElemet null) {return null;}sendElemet.click();Thread.sleep(1500);WebElement gtElemet ChromeDriverManager.waitElement(driver, By.xpath(//p[classaccount-msg]), 15);String gtInfo (gtElemet ! null) ? gtElemet.getText() : null;retEntity.setMsg(gtInfo);if (gtInfo ! null gtInfo.contains(验证码已通过短信发送)) {retEntity.setRet(0);}return retEntity;} catch (Exception e) {System.out.println(phone phone ,e e.toString());for (StackTraceElement ele : e.getStackTrace()) {System.out.println(ele.toString());}return null;} finally {GetImage.cookieClear(driver);}}2 测试结果输出 由于该网站无验证措施本次测评非常简单
五丶结语
成立于 2018 年是国内领先的企业营销设计云平台。集“创意供给、内容存储、在线编辑、营销协作、品牌资产管理云”五大功能于一体。对创意供应链和设计服务流程整合建立了以云端图像处理引擎为核心、涉及版权采买-设计交付-营销分发-数据分析的服务体系提供企业营销设计一站式解决方案。 作为AI智能的头部企业拥有雄厚的技术实力但对短信被盗刷的方面不够重视或没有安全方面的经验 测试结果就是随便你怎么攻击都可以这也有点太开放了 短信验证码难道不要钱吗 这对黑客来说肯定是好消息 弄个简单的脚本就可以搞定 很多人在短信服务刚开始建设的阶段可能不会在安全方面考虑太多理由有很多。 比如“ 需求这么赶当然是先实现功能啊 ”“ 业务量很小啦系统就这么点人用不怕的 ” “ 我们怎么会被盯上呢不可能的 ”等等。 有一些理由虽然有道理但是该来的总是会来的。前期欠下来的债总是要还的。越早还问题就越小损失就越低。 所以大家在安全方面还是要重视。血淋淋的栗子#安全短信# 戳这里→康康你手机号在过多少网站注册过
谷歌图形验证码在AI 面前已经形同虚设所以谷歌宣布退出验证码服务 那么当所有的图形验证码都被破解时大家又该如何做好防御呢
相关阅读 《腾讯防水墙滑动拼图验证码》 《百度旋转图片验证码》 《网易易盾滑动拼图验证码》 《顶象区域面积点选验证码》 《顶象滑动拼图验证码》 《极验滑动拼图验证码》 《使用深度学习来破解 captcha 验证码》 《验证码终结者-基于CNNBLSTMCTC的训练部署套件》
