驗證碼的三個常見漏洞和修復方法
更新時間：2015年03月02日 09:21:20 投稿：junjie
這篇文章主要介紹了驗證碼的三個常見漏洞和修復方法,本文講解了把驗證碼存儲在Cookie中、沒有進行非空判斷、沒有及時銷毀驗證碼三個常見問題和解決方法,需要的朋友可以參考下
把驗證碼存儲在Cookie中
一般來說，我們會把驗證碼的值用Session存儲起來，通過對比用戶提交的驗證碼和Session中的驗證碼，就可以知道輸入是否正確。由于Session會占用服務(wù)器資源，我曾經(jīng)想過是否可以把驗證碼的值加密后存儲在Cookie中。不過事實證明，這只是異想天開罷了。
假設(shè)驗證碼的值是a，通過sha1加密后得到的值為b = sha1(a)，并且把b存儲在Cookie中。而用戶提交的驗證碼值為c，通過判斷sha1(c)是否與b相等，可以知道輸入的驗證碼是否正確。然而，Cookie是受客戶端控制的。如果用戶事先通過肉眼看到驗證碼的值是a，又從Cookie中得知此時的加密值為b，那么，他只要在提交前把Cookie的值修改為b，提交的驗證碼值為a，就可以永遠通過驗證。
沒有進行非空判斷
這種情況可以直接用代碼來說明：
復制代碼 代碼如下:
if (Request["captcha"] == Session["captcha"] as string)
{
// 驗證通過，繼續(xù)操作
}
假設(shè)用戶繞過了系統(tǒng)提供的表單直接提交數(shù)據(jù)，此時驗證碼還沒生成，Session["captcha"]為空。用戶不提交驗證碼時，Request["captcha"]也為空。于是，驗證通過了。
要解決這個問題，其實只要加個非空判斷就可以了：
復制代碼 代碼如下:
if (!String.IsNullOrEmpty(Request["captcha"]) &&
Request["captcha"] == Session["captcha"] as string)
{
// 驗證通過，繼續(xù)操作
}
沒有及時銷毀驗證碼
使用驗證碼要遵循一個原則，在一次比對之后，無論用戶輸入正確與否，都要立刻將驗證碼銷毀。
如果不這樣做，就可以出現(xiàn)以下情況：
假設(shè)用戶輸入錯誤，且驗證碼沒有重新生成，那么他就可以一直嘗試，直到正確為止。雖然機器對圖片的一次性識別率比較低，但是，如果同一張圖片你給它無限次機會的話，它還是可以識別出來的。
假設(shè)用戶輸入成功，且驗證碼沒有銷毀，那么在Session過期之前，他就可以一直用這個驗證碼通過驗證。
相關(guān)文章
以下是對C#中的加密算法進行了匯總介紹，需要的朋友可以過來參考下2013-09-09
這篇文章主要為大家詳細介紹了C#如何給PDF文件添加水印的相關(guān)資料，文中示例代碼介紹的非常詳細，具有一定的參考價值，感興趣的小伙伴們可以參考一下2016-09-09
這篇文章主要介紹了C#實現(xiàn)啟動，關(guān)閉與查找進程的方法,通過簡單實例形式分析了C#針對進程的啟動,關(guān)閉與查找的相關(guān)實現(xiàn)技巧,具有一定參考借鑒價值,需要的朋友可以參考下2015-11-11
這篇文章主要介紹了如何在c#中使用Zlib壓縮與解壓，幫助大家更好的理解和學習使用c#，感興趣的朋友可以了解下2021-04-04
多線程編程時，如果涉及同時讀寫共享數(shù)據(jù)，就要格外小心。如果共享數(shù)據(jù)是獨占資源，則要對共享數(shù)據(jù)的讀寫進行排它訪問，最簡單的方式就是加鎖。鎖也不能隨便用，否則可能會造成死鎖和活鎖。本文將通過示例詳細講解死鎖和活鎖是如何發(fā)生的以及如何避免它們。2020-11-11
這篇文章主要介紹了C#多線程處理多個隊列數(shù)據(jù)的方法,涉及C#線程與隊列的相關(guān)操作技巧,需要的朋友可以參考下2015-07-07
unity3D實現(xiàn)物體任意角度自旋轉(zhuǎn)
這篇文章主要為大家詳細介紹了unity3D實現(xiàn)物體任意角度自旋轉(zhuǎn)，文中示例代碼介紹的非常詳細，具有一定的參考價值，感興趣的小伙伴們可以參考一下2020-07-07
c#典型工廠化實現(xiàn)實例，需要的朋友可以參考一下2013-03-03
這篇文章主要介紹了C#Url操作類封裝、仿Node.Js中的Url模塊，實例分析了C#Url操作類封裝的技巧，非常具有實用價值，需要的朋友可以參考下。2016-10-10
這篇文章主要介紹了C#中自動實現(xiàn)的屬性,包括使用自動實現(xiàn)的屬性實現(xiàn)輕量類的方法,需要的朋友可以參考下2016-01-01