卷積神經網路驗證碼

① web滲透測試之攻破登錄頁面

當我們在做滲透測試時，無論廠商項目還是src眾測項目，都會遇到給一堆登錄系統的URL，然後讓我們自己去測，能不能進去全看天的狀況，本文將講一下怎麼突破這種封閉的web系統，從而進行更深層次的滲透 ，學完後你會發現，其實你就是系統管理員。

如果能直接繞過登錄系統界面，後面的就比較好做了，目前常見的登錄系統繞過方法有：

大部分情況下，系統登錄頁面都不存在xss，目錄遍歷，SQL注入等漏洞，這時候最常用的方法就是爆破和猜解登錄口令，密碼猜解最關鍵的就是字典要高效准確

https:// down.52pojie.cn/Tools/N etwork_Analyzer/Burp_Suite_Pro_v1.7.31_Loader_Keygen.zip

2.准確的用戶名，密碼字典是高效破解的重中之重 ，一般都是指定幾個常見用戶名 ，嘗試 top500，top1000進行爆破 字典不必要太大，最重要的是針對性要強 ，下面是top1000：

鏈接: https:// pan..com/s/1-XztuB 8YTfpT5aUBVbmbzA 密碼: 56pb

3.如果還是不能猜解成功，就要根據目標信息用字典生成器構造針對性的字典來猜解了，推 薦幾個比較好的字典生成工具

pydictor：

LandGrey/pydictor

crunch:

crunch - wordlist generator

Cewl:

digininja/CeWL

Cupp:

Mebus/cupp

因為管理員許可權較高，通常我都會先進行管理員口令的猜解，總結了一些常見的管理員用戶名字典

<u>鏈接:</u> <u> https:// pan..com/s/1sOD1-u whnStaw_LfMOf-sQ </u><u>密碼: 3yqe</u>

用此用戶名字典，再加上弱口令top1000，同時爆破系統管理員用戶名密碼

鏈接: https:// pan..com/s/1-XztuB 8YTfpT5aUBVbmbzA 密碼: 56pb

常見的普通用戶用戶名是姓名拼音，總結了普通用戶字典

TOP3000姓名

<u>鏈接:</u> <u> https:// pan..com/s/1qN9kCF tymP4ugvu3FFkKbA </u><u>密碼: hkzp</u>

TOP10w姓名

https:// github.com/rootphantome r/Blasting_dictionary/blob/master/top10W.txt

通常可以選擇幾個弱口令密碼，比如：123456，123abc，111111，然後配合top10w來猜解登陸口令，一些初始化的默認密碼也很簡單，如果能找到配合top10w通常也能爆出登錄口令

現在的業務系統口令傳輸到後端前都會進行加密處理 ，web常見的加密方式有 md5 加密、sha1 加密、RSA 加密，在此基礎上總結了兩種破解方式：

1.利用burpsuite的payload processing功能，把字典按照加密方式先加密再發包

2.用字典生成工具生成加密好的字典，然後burp直接載入加密字典

這里推薦的字典生成工具是pydictor，encode功能內置了多種加密演算法，調用handler工具直接加密自己的明文字典

如果登錄系統設置了IP地址白名單，我們可以通過下面的幾個http頭欄位偽造IP地址，用burp抓包後將下面的某個http頭欄位加入數據包發送到伺服器

<pre class="prettyprint hljs css" style="padding: 0.5em; font-family: Menlo, Monaco, Consolas, "Courier New", monospace; color: rgb(68, 68, 68); border-radius: 4px; display: block; margin: 0px 0px 1.5em; font-size: 14px; line-height: 1.5em; word-break: break-all; overflow-wrap: break-word; white-space: pre; background-color: rgb(246, 246, 246); border: none; overflow-x: auto;">Client-Ip: 127.0.0.1
X-Client-IP: 127.0.0.1
X-Real-IP: 127.0.0.1
True-Client-IP: 127.0.0.1
X-Originating-IP: 127.0.0.1
X-Forwarded-For: 127.0.0.1
X-Remote-IP: 127.0.0.1
X-Remote-Addr: 127.0.0.1
X-Forwarded-Host: 127.0.0.1</pre>

如果在系統登陸界面加上了驗證碼，那麼上面的方法基本上就都失效了，那有什麼方法可以繞過驗證呢

1.圖形驗證碼不刷新

在一段時間內只要不刷新頁面，無論登錄失敗多少次都不刷新驗證碼，這個時候就可以使用同一個驗證碼根據上面的方式進行暴力破解

2.驗證碼失效

不管在驗證碼表單輸入什麼樣的數據，都會判斷通過，但這種情況很少見

3.圖形驗證碼可被識別，抓包直接可以獲得驗證碼

很多網站的驗證碼都可以在請求數據包中找到，或者隱藏在request的cookie中，response的源碼中，可以利用burpsuite的macros來匹配response中的相應數據，具體的爆破方法參見下文：

burpsuite爆破密碼（含驗證碼） - CSDN博客

4.圖形驗證碼參數直接繞過

對於request數據: user=admin&pass=1234&vcode=brln，有兩種繞過方法：

一是驗證碼空值繞過，改成 user=admin&pass=1234&vcode=；

一是直接刪除驗證碼參數，改成 user=admin&pass=1234。

5.萬能驗證碼

滲透測試的過程中，有時候會出現這種情況，系統存在一個萬能驗證碼，如0000、9999，只要輸入萬能驗證碼，就可以無視驗證碼進行暴力破解。

6. 驗證碼可被識別

有些圖形驗證碼加入的像素線條過於簡單，使用圖形驗證碼識別工具可以識別出每次更換的驗證碼，在平常的漏洞挖掘過程中，如果我們發現登錄的驗證碼非常簡單且易於識別，那我們就可以嘗試使用自動化工具來進行登錄破解了，如 PKAV 的 HTTP Fuzzer

7.使用機器學習演算法識別驗證碼

主要是對特定網站的圖形驗證碼訓練識別模型，達到一定的准確率就可以調用進行模擬提交圖形驗證碼的值了。可參考以下三篇文章進行學習：

使用KNN演算法識別驗證碼:

http:// nlao.github.io/2016/0 9/22/%E9%AA%8C%E8%AF%81%E7%A0%81%E7%A0%B4%E8%A7%A3%E6%8A%80%E6%9C%AF%E5%9B%9B%E9%83%A8%E6%9B%B2%E4%B9%8B%E4%BD%BF%E7%94%A8K%E8%BF%91%E9%82%BB%E7%AE%97%E6%B3%95/

卷積神經網路識別驗證碼

http:// nlao.github.io/2016/0 9/23/%E9%AA%8C%E8%AF%81%E7%A0%81%E7%A0%B4%E8%A7%A3%E6%8A%80%E6%9C%AF%E5%9B%9B%E9%83%A8%E6%9B%B2%E4%B9%8B%E4%BD%BF%E7%94%A8%E5%8D%B7%E7%A7%AF%E7%A5%9E%E7%BB%8F%E7%BD%91%E7%BB%9C/

使用 TensorFlow 訓練驗證碼

http:// nlao.github.io/2017/0 4/10/%E4%BD%BF%E7%94%A8TensorFlow%E8%AE%AD%E7%BB%83Weibo-cn%E9%AA%8C%E8%AF%81%E7%A0%81/

對於網站要求輸入手機號，接收手機簡訊並校驗簡訊驗證碼是否正確進行登錄的系統，突破的主要思路有：

1.簡訊驗證碼生命期限內可暴力枚舉

在驗證碼還未過期的時間段內，可枚舉全部的純四位數字、六位數字等較簡單的簡訊驗證碼；

2. 簡訊驗證碼在數據包中返回

和圖形驗證碼一樣，在response中可以直接獲取到簡訊驗證碼。

3. 修改請求數據包參數或 Cookie 值繞過

比如有 post 數據包：mobile=12435437658&userid=123456, Cookie中有：codetype=1

在特定步驟，修改 mobile=自己的手機號，自己手機就可以收到別人的驗證碼，後面再用別人的手機號和接收到的驗證碼登錄；

修改 Cookie 中可疑的參數和值，進行繞過，比如上面修改 codetype=0；

4. 修改返回包繞過

提交錯誤的簡訊驗證碼，返回包中有： status=false，在Burpsuite中修改為 status=true，即可繞過前端判斷，成功進入系統。具體還要結合實際的場景，靈活操作。

web系統登陸頁面看似銅牆鐵壁，但其實只要梳理一遍思路，右鍵看過每一行網站源碼，弄懂每個參數的意義，查看每一個js文件，就會發現其實自己就是系統管理員，只是我把密碼忘了，現在我要用上面的方式進入。

② 如何利用Python做簡單的驗證碼識別

1摘要

驗證碼是目前互聯網上非常常見也是非常重要的一個事物，充當著很多系統的防火牆功能，但是隨時OCR技術的發展，驗證碼暴露出來的安全問題也越來越嚴峻。本文介紹了一套字元驗證碼識別的完整流程，對於驗證碼安全和OCR識別技術都有一定的借鑒意義。

然後經過了一年的時間，筆者又研究和get到了一種更強大的基於CNN卷積神經網路的直接端到端的驗證識別技術（文章不是我的，然後我把源碼整理了下，介紹和源碼在這裡面）：

基於python語言的tensorflow的『端到端』的字元型驗證碼識別源碼整理(github源碼分享)

2關鍵詞

關鍵詞：安全,字元圖片,驗證碼識別,OCR,Python,SVM,PIL

3免責聲明

本文研究所用素材來自於某舊Web框架的網站完全對外公開的公共圖片資源。

本文只做了該網站對外公開的公共圖片資源進行了爬取，並未越權做任何多餘操作。

本文在書寫相關報告的時候已經隱去漏洞網站的身份信息。

本文作者已經通知網站相關人員此系統漏洞，並積極向新系統轉移。

本報告的主要目的也僅是用於OCR交流學習和引起大家對驗證安全的警覺。

4引言

關於驗證碼的非技術部分的介紹，可以參考以前寫的一篇科普類的文章：

互聯網安全防火牆（1）--網路驗證碼的科普

裡面對驗證碼的種類，使用場景，作用，主要的識別技術等等進行了講解，然而並沒有涉及到任何技術內容。本章內容則作為它的技術補充來給出相應的識別的解決方案，讓讀者對驗證碼的功能及安全性問題有更深刻的認識。

5基本工具

要達到本文的目的，只需要簡單的編程知識即可，因為現在的機器學習領域的蓬勃發展，已經有很多封裝好的開源解決方案來進行機器學習。普通程序員已經不需要了解復雜的數學原理，即可以實現對這些工具的應用了。

主要開發環境：

• python3.5

• python SDK版本

• PIL

• 圖片處理庫

• libsvm

• 開源的svm機器學習庫

關於環境的安裝，不是本文的重點，故略去。

6基本流程

一般情況下，對於字元型驗證碼的識別流程如下：

• 准備原始圖片素材

• 圖片預處理

• 圖片字元切割

• 圖片尺寸歸一化

• 圖片字元標記

• 字元圖片特徵提取

• 生成特徵和標記對應的訓練數據集

• 訓練特徵標記數據生成識別模型

• 使用識別模型預測新的未知圖片集

• 達到根據「圖片」就能返回識別正確的字元集的目標

7素材准備

7.1素材選擇

由於本文是以初級的學習研究目的為主，要求「有代表性，但又不會太難」，所以就直接在網上找個比較有代表性的簡單的字元型驗證碼（感覺像在找漏洞一樣）。

最後在一個比較舊的網站（估計是幾十年前的網站框架）找到了這個驗證碼圖片。

原始圖：



• def get_feature(img): """


• 獲取指定圖片的特徵值,


• 1. 按照每排的像素點,高度為10,則有10個維度,然後為6列,總共16個維度


• :param img_path:


• :return:一個維度為10（高度）的列表 """



• width, height = img.size



• pixel_cnt_list = []


• height = 10 for y in range(height):


• pix_cnt_x = 0 for x in range(width): if img.getpixel((x, y)) == 0: # 黑色點


• pix_cnt_x += 1



• pixel_cnt_list.append(pix_cnt_x) for x in range(width):


• pix_cnt_y = 0 for y in range(height): if img.getpixel((x, y)) == 0: # 黑色點


• pix_cnt_y += 1



• pixel_cnt_list.append(pix_cnt_y) return pixel_cnt_list



然後就將圖片素材特徵化，按照libSVM指定的格式生成一組帶特徵值和標記值的向量文