验证码 - 安全那些事！

首先，先介绍下验证码程序的提出者，路易斯·冯·安(Luis von Ahn)。2002年，路易斯和他的小伙伴在卡内基梅隆第一次提出了CAPTCHA(验证码)这样一个程序概念。该程序是指，向请求的发起方提出问题，能正确回答的即是人类，反之则为机器。这个程序基于这样一个重要假设：提出的问题要容易被人类解答，并且让机器无法解答。

在当时的条件下，识别扭曲的图形，对于机器来说还是一个很艰难的任务，而对于人来说，则相对可以接受。yahoo在当时第一个应用了图形化验证码这个产品，很快解决了yahoo邮箱上的垃圾邮件问题，因此图形类验证码开始了大发展时期。

图形化验证码在被证明有效后，在互联网上迅速得到了推广。国内外各大网站，在关键的业务点上都加入了这一类型的验证码。

首先，由于开发者水平的良莠不齐，导致验证码本身的实现存在问题，从而导致漏洞可以绕过，常见的有以下几种类型：

如将验证码答案输出到页面中、写在cookie里。打比方就是说，在发卷的时候，把答案写在了卷子背面。(老师再也不用担心我的成绩)

如验证码可以重复使用、不设超时。验证一次，永久使用。

如修改业务参数可导致不用校验验证码也可通过、甚至验证码就是摆设。结合到具体的业务点上有什么危害呢？

a. 验证码写在cookie中。此处可导致旅客信息泄露。

b. 验证码与图片存在对应关系，因此直接访问html即可得到答案。此处可导致撞库与暴力破解密码。

在开篇我们提到了一个重要的假设：

CAPTCHA提出的问题要容易被人类解答，并且让机器无法解答。

实际上，CAPTCHA所要处理的问题是：将普通人与恶意的用户（黑客、垃圾消息发送者）区分开来。那当时间点到达2016年时，黑客们与普通用户之间的差距已经很大了（想象下中国足球队对巴西足球队，而且此时留给中国队的时间已经不多了）。

因此，CAPTCHA在图片验证码这一应用点上已经无法满足这一假设了。在这段时间内，出现了很多的加强和识别图形验证码的方法（每一种方法的详细原理和解释，可以参见wooyun drops，在此不做详述）：

附上部分名词解释：

如上图所示，原始的图像使用了字体旋转、背景色混淆等手段，在专业的验证码工具面前，也就是几个命令拼接即可完成识别

如上图所示，是一个验证码识别软件自建字库的过程，通过回车确认验证码识别正确，如有错误，稍带修改继续。当保存了上千个正确识别的字库后，该程序便可达到一个可用的可用的准确率。（其实若不不做其他限制，此时准确率在30%以上时，即可造成很大的危害，毕竟对于攻击者来说，发3个包与发1个包的成本差别不大）

看到这里，客户们大概可以回答这个问题了：

为什么我用了验证码还是会被刷？

那普通验证码难道没用了吗？

那倒也不是，安全是一个博弈的过程。综合使用之前提到的验证码技术(特别是字体粘连等)，并且保持关注和变化，攻击者的识别率也比较低。当攻击的成本大于可获得的利益时，自然就没人来攻击了。（普通用户在此应强烈要求存在感）

此时，虽然两方大小上略有差距，但是总体战斗力还算是勉强打个平手，互相出招而已。只是随着战火的升级，个人轮番上阵后，验证码已经违背了他最初设计时的初衷：对普通用户的友好性逐渐消失。而普通用户的体验也就成了这场战争中的牺牲品，这也就造就了一批有一批被用户吐槽的无法辨认的验证码。

正当普通用户们不断吐槽的时候，程序员表示这个锅不想背但是也得背。因为业务总是要做的，而攻击者们也是要吃饭的，升级了验证码的成本，也就限制了风险的等级，于是就变成了这样一个模式╮(╯_╰)╭：

大家就在这种你方唱罢我登台的情况下看似和睦的度过了一段时间。

在日日夜夜的对抗中，攻击者想到了一个办法，可以一劳永逸的解决图片验证码的问题。在我对这些搞灰产的人们表示憧憬之前，先说点题外话。

2009年，google买下了CMU的一个项目:recaptcha。这个项目是CAPTCHA的进阶版本。它所基于的假设与CAPTCHA一致，但是它同时让用户识别两张图片，一张用于验证用户身份，而另一张用于帮助难以用机器识别的电子文档。

恩，如果读者有从事此类灰产相关工作的人，请注意recaptcha右下角的小字（ stop spam.read books 看看这情怀）。

而recaptcha的作者，当然又是:路易斯·冯·安。在recaptcha的基础上，路易斯进一步提出了一个概念:人类计算(Human Computation) 。

简单来说，他希望借由计算机和网络平台，发挥人类技能，去解决大规模、复杂的问题，具体到recaptcha项目来说，就是借助大家的力量去帮助数字化书籍。（该思想的具体应用还包括一个叫ESP GAME的游戏以及后面会提到的no recaptcha）

但是，在2004年（我能搜到这个新闻的最早时间），就有人已经完美的实现了这个概念:人工打码，并且起源地:中国（此处我应该感到自豪吗）。

所谓的人工打码就是，将验证码的请求转发给某平台，该平台会将这个信息发送给平台上的打码工，然后打码工人识别后，将答案反送回请求者。通过打码平台的api，攻击者可以写程序实现对目标的自动化操作，而验证码的部分只要交给打码平台就可以了。

打码平台在国内市场上的火爆，有几个原因:

[1].从2006年开始，国内互联网的迅猛发展，使得流量变现成为了可能。各种邮件营销、SEO、IM工具等都迫切的需要稳定的可以绕过图形验证码的方法。而近些年兴起的基于数据的诈骗、账号盗取等更进一步加剧了这个趋势。

[2].打码平台的爆发式发展也同时得益于中国经济蓬勃发展的原因之一：人口多并且人力成本低。网络上一种常见的网赚模式，就是打码工模式，一个只要会上网，能识别验证码的人就可以参与。PS:难道你没有看见过下面这些广告吗？大学生、大妈，无需学历，只要会上网、会打字，一天包赚XXXXX。当然其中除了打码平台，还有很多骗子。

以上验证码的价格在平台上都是明码标价，普通的字母验证码1条在1分钱左右，而知识问答类在6分钱左右，相较于利用这些灰产所会产生的利益，真是件美物廉，重点是还非常稳定。

同时我注意到国外的价格现在与国内的价格已经相差不大，现在美国的价钱约为$1.5/1000，美国的打码工已经向东南亚扩展。打码平台一出现，2.2中提到的加强验证码的方法都无用了。因为不管你怎么变化，验证码总需要是人类能够通过的。

打码平台的出现，虽然没有从理论上打破CAPTCHA的原则，但是也从事实上击破了防止程序自动提交的防御，因此我们需要新型的安全的验证方式。这些探索也带来了现在各种多样的验证码形式，这些我们将在下篇探讨。

最后用一个“富有情怀”的图片结束。

这张图不是来自改变世界的极客，也不是来自富有爱心的艺术家。它来自某知名打码平台的官网，是不是太有情怀了？（你们的确改变了我们的工作方式）

面对这样的情怀，我想我现在只能做一件事情。

如图：

从收入水平来看。每月收入3000到8000这个阶段的占比最大，达到了79.8%；每月收入少于3000的占比3%；每月收入大于15000的，占比1.3%。从这个数据可以看到，seo赚钱呈现酒坛状。中间大，两头小，中间收入的人群占比最大，低收入和高收入的人群占比偏少。

从工作经验来看，相对来讲，工作年限越长，其收入水平和赚钱水平越高，如图：

注意：数据不是全民性质或权行业数据统计的，数据不是很准确，参考即可。

虽然不能确切的说seo一个月能赚多少钱，但我们能总结此行业的一些特性：

1：草根seo赚钱占比更大。从国内的seo行业现状来看，大部分从事seo的朋友都属于典型的“草根”，收入方面没有显著提升，处于吃不饱，饿不死的状态。

2：seo经验决定赚钱水平。seo的特性决定了经验的作用，也就是说经验越丰富，seo效果更明显，赚钱也会更多。这个点适用于在公司为企业做网站seo,也适用于依靠seo创业。

3：少部分的seo人，依旧能靠seo赚大钱，靠seo让自己的生活更富足。此类人群大部分是自己创业，或者在大公司任职。

4：真正决定你通过seo快速盈利的核心点，在于你的seo技术本身以及情商。

我一直认为，在现在，几乎所有行业都能赚钱，并且每个行业都有翘楚。何行业都有赚钱的，都有赔钱的，为何？因为总有些学艺不精、爱好抱怨的人垫底。

seo教程自学网点评：

技术过硬，做灰产，接优化单，入职seo高管等，都能快速大量盈利；seo技术不到位，赚钱的水平就会大打折扣。任何一个行业，都是大量的平庸者，少部分的拔尖者。兼具seo技术与高情商，才是赚钱高手。

1、搜索引擎来源

通过搜索引擎来源很好理解，只要网站做了关键词优化，那么用户会通过自己的需求词搜索到该文章，如果该文章内容让用户满意，那么会记录此用户一个流量来源。同样的，如果你做了海量关键词，那么你的网站流量通过搜索引擎来的就比较多。

2、直接访问

直接访问一般来源于把网站网址通过QQ、微信等软件直发，用户直接打开网址，那么此类渠道被记录为直接访问，最常用的手法就是使用群发软件发网址。

记得很多年前，卖群发软件的广告词就是，一键群发，坐等客源。而现在QQ、微信等一些渠道群发信息时，超过一定数量会自动屏蔽，所以“坐等客源”是不存在的，再加上用户打开网址的几率是多少呢？意向用户打开几率又是多少呢？想必你自己应该最清楚。

3、外链

推广如何引流？经常使用外链的就是利用软件群发外链或者论坛，现在摸着良心说，论坛外链已经毫无意义，如果做外链，建议做知乎、头条、搜狐等。尤其是知乎外链，质量相当好。一般我的做法是，在知乎上发布一段文字，然后贴上自己的网址。知乎自动会提取你网址中的图片作为缩略图，至少不会影响阅读。

4、其他

这类手法其实就属于灰产类手法，比如挂弹窗、通过恶意代码植入自己网址等等，小编真心不建议这么做，因为就算引流，也算是垃圾流量。

推广如何引流？所谓的网站引流推广，无非就是以上几种，但个人认为最有效也最直接的方法就是搜索引擎和外链这两种方法。

---