验证码的三个常见漏洞和修复方法
更新时间：2015年03月02日 09:21:20 投稿：junjie
这篇文章主要介绍了验证码的三个常见漏洞和修复方法,本文讲解了把验证码存储在Cookie中、没有进行非空判断、没有及时销毁验证码三个常见问题和解决方法,需要的朋友可以参考下
把验证码存储在Cookie中
一般来说，我们会把验证码的值用Session存储起来，通过对比用户提交的验证码和Session中的验证码，就可以知道输入是否正确。由于Session会占用服务器资源，我曾经想过是否可以把验证码的值加密后存储在Cookie中。不过事实证明，这只是异想天开罢了。
假设验证码的值是a，通过sha1加密后得到的值为b = sha1(a)，并且把b存储在Cookie中。而用户提交的验证码值为c，通过判断sha1(c)是否与b相等，可以知道输入的验证码是否正确。然而，Cookie是受客户端控制的。如果用户事先通过肉眼看到验证码的值是a，又从Cookie中得知此时的加密值为b，那么，他只要在提交前把Cookie的值修改为b，提交的验证码值为a，就可以永远通过验证。
没有进行非空判断
这种情况可以直接用代码来说明：
复制代码 代码如下:
if (Request["captcha"] == Session["captcha"] as string)
{
// 验证通过，继续操作
}
假设用户绕过了系统提供的表单直接提交数据，此时验证码还没生成，Session["captcha"]为空。用户不提交验证码时，Request["captcha"]也为空。于是，验证通过了。
要解决这个问题，其实只要加个非空判断就可以了：
复制代码 代码如下:
if (!String.IsNullOrEmpty(Request["captcha"]) &&
Request["captcha"] == Session["captcha"] as string)
{
// 验证通过，继续操作
}
没有及时销毁验证码
使用验证码要遵循一个原则，在一次比对之后，无论用户输入正确与否，都要立刻将验证码销毁。
如果不这样做，就可以出现以下情况：
假设用户输入错误，且验证码没有重新生成，那么他就可以一直尝试，直到正确为止。虽然机器对图片的一次性识别率比较低，但是，如果同一张图片你给它无限次机会的话，它还是可以识别出来的。
假设用户输入成功，且验证码没有销毁，那么在Session过期之前，他就可以一直用这个验证码通过验证。
相关文章
以下是对C#中的加密算法进行了汇总介绍，需要的朋友可以过来参考下2013-09-09
这篇文章主要为大家详细介绍了C#如何给PDF文件添加水印的相关资料，文中示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下2016-09-09
这篇文章主要介绍了C#实现启动，关闭与查找进程的方法,通过简单实例形式分析了C#针对进程的启动,关闭与查找的相关实现技巧,具有一定参考借鉴价值,需要的朋友可以参考下2015-11-11
这篇文章主要介绍了如何在c#中使用Zlib压缩与解压，帮助大家更好的理解和学习使用c#，感兴趣的朋友可以了解下2021-04-04
多线程编程时，如果涉及同时读写共享数据，就要格外小心。如果共享数据是独占资源，则要对共享数据的读写进行排它访问，最简单的方式就是加锁。锁也不能随便用，否则可能会造成死锁和活锁。本文将通过示例详细讲解死锁和活锁是如何发生的以及如何避免它们。2020-11-11
这篇文章主要介绍了C#多线程处理多个队列数据的方法,涉及C#线程与队列的相关操作技巧,需要的朋友可以参考下2015-07-07
这篇文章主要为大家详细介绍了unity3D实现物体任意角度自旋转，文中示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下2020-07-07
c#典型工厂化实现实例，需要的朋友可以参考一下2013-03-03
这篇文章主要介绍了C#Url操作类封装、仿Node.Js中的Url模块，实例分析了C#Url操作类封装的技巧，非常具有实用价值，需要的朋友可以参考下。2016-10-10
这篇文章主要介绍了C#中自动实现的属性,包括使用自动实现的属性实现轻量类的方法,需要的朋友可以参考下2016-01-01
最新评论