为什么PHP写的验证码会被暴力破解，如何能做到不被暴力破解呢？还有验证码一定要依赖COOKIE和SESSION吗？

验证码这个东西本身就是一个防止暴力破解的机制，用于区分机器和人的，跟用什么写的是没有关系的。你可以设置以下逻辑来防止验证码被破解：

验证码更新机制，错误输入后换一个验证码

IP封锁机制，错误输入五次验证码后锁死相关IP

带验证码的网页登陆，如何暴力破解？

验证码的目的就是进行人机区分，防止频繁提交来暴力破解账号等，要达到暴力破解的前提就是得用自动化程序来通过人机验证。验证码的种类很多，每种的破解方式的不同，相对来说字符类验证码比较容易破解，因为字符库永远是有限的。现在比较流行的行为验证还分析了用户的行为特征，要破解就更难了。比如VAPTCHA这种随机轨迹的手势验证码，具有无限种验证轨迹，用传统的破解方式是无法破解的。

验证码是干什么用的？

验证码是一种区分用户是计算机还是人类的公共全自动程序，对恶意破解密码，刷票，论坛灌水等行为有很大的抑制作用，也能有效防止某个黑客对某一个注册用户用特定程序暴力破解的方式进行不断登录尝试的情况。

当注册网站和进行银行付款时，我们增加了短信验证程序。使用者通过手机接收验证码，确保使用者填写资料的真实性。同时，他们还在一定程度上为用户提供了新的验证程序，起到了提醒和警惕的作用。另外，使用短信验证码可以防止密码泄露。还可让用户不用记密码，整体使用体验方便快捷。

暴力破解与验证码安全

暴力破解 ：暴力破解简单来说就是将密码进行逐个测试，直到找出正确的密码为止

    暴力破解：是一攻击具手段，在web攻击中，一般会使用这种手段对应用系统的认证信息进行获取。 其过程就是使用大量的认证信息在认证接口进行尝试登录，直到得到正确的结果。为了提高效率，暴力破解一般会使用带有字典的工具来进行自动化操作

    暴力破解漏洞：如果一个web应用系统没有采用或者采用了比较弱的认证安全策略，导致其被暴力破解的“可能性”变的比较高

暴力破解前准备 ：

    1. web系统的认证安全策略：

        是否要求用户设置复杂的密码；

        是否每次认证都使用安全的验证码

        是否对尝试登录的行为进行判断和限制（如：连续5次错误登录，进行账号锁定或IP地址锁定等）

        是否采用了双因素认证

        认证过程是否带有token信息

2.工具准备：准备合适的暴力破解工具以及一个有郊的字典

三个要点：

       1. 对目标网站进行注册，搞清楚帐号密码的一些限制，比如目标站点要求密码必须是8位以上，字母数字组合，则可以按照此优化字典，比如去掉不符合要求的密码

        2. web管理面密码使用admin/administrator/root帐号的机率较高，可以使用这三个帐号+随便一个密码字典进行暴力破解

        3. 破解过程中一定要注意观察提示，如有“用户名或密码错误”“密码错误”“用户名不存在”等相关提示,可进一步利用

暴力破解分类 ：

    B/S模式：浏览器服务器模式的认证过程是http协议实现的，因此可以用burpsuite抓包工具来破解

        1. 不带验证码的认证的破解：可直接使用burpsuite加密码字典破解

        2. 带验证码的认证的破解：如果是前端验证可使用burpsuite抓包绕过验证码来暴力破解，如果是后端验证，可使用爆破工具（如pkav）外接验证码识别器来暴力破解。（如果后台验证过程中验证码没有立即销毁，此验证码可使用24分钟）

        3. 带token信息的认证的破解：（Token是服务端生成的一串字符串，以作客户端进行请求的一个令牌，客户端带上token代表具有执行某些操作的权利）token信息每次都不一样，需要burpsuite将服务器返回的token取出用于下一次请求。

    C/S模式：客户端服务器模式的认证过程有多种协议实现的，因此需要用专用的集成化破解工具来破解,例如 Hydra、Bruter、X-scan

        工具：

            Bruter：密码暴力破解工具

            Hydra：hydra是著名黑客组织thc的一款开源的暴力密码破解工具，支持多种协议，可以在线破解多种应用密码。

暴力破解的防范 ：增加web系统的认证安全策略

    要求用户设置复杂的密码

    每次认证都使用安全的验证码

    对尝试登录的行为进行判断和限制

    采用双因素认证

    认证过程带token信息

验证码安全 ：

        是一种区分用户是计算机还是人的全自动程序，可以防止：密码暴力破解、刷票、论坛灌水。可有效防护黑客对特定用户的密码暴力破解。

验证码分类 ：

    Gif动画验证码

    手机短信验证码

    手机语音验证码

    视频验证码

验证码常见安全问题 ：

    客户端问题

    服务端问题

    基于Token验证

    验证码太简单，容易被机器识别

    暴破验证码

验证码安全防护 ：

    1) 强制要求输入验证码，否则，必须实施IP策略。 注意不要被X-Forwaded-For绕过了！

    2) 验证码只能用一次，用完立即过期！不能再次使用

    3) 验证码不要太弱。扭曲、变形、干扰线条、干扰背景色、变换字体等。

    4) 大网站最好统一安全验证码，各处使用同一个验证码接口

思路点：暴力破解和验证码安全破解时也可以熟悉认证业务过程，并试图在业务过程中寻找业务逻辑漏洞。

弱口令：属于暴力破解漏洞的一种，是web认证界面使用了常用的或者较简单的用户名密码，使暴力破解变得简单。

验证码的作用

验证码是一种区分用户是计算机还是人的公共全自动程序，验证码问题由计算机生成并评判，只有人类才能解答，可以防止恶意破解密码、刷票、论坛灌水等问题，分为Gif动画验证码、手机短信验证码，手机语音验证码和视频验证码，大多数网站的验证码都是需要点击一下填写框，然后会自动弹出验证码图片；

验证码是技术进步还是阻碍？

随着技术发展，为了完成人机验证诞生一系列验证码形式，如滑块验证码、图片验证码等。验证码是一种全自动区分人类与计算机的图灵测试，通过设置只有人类才能回答的问题确定用户为人类，避免出现恶意刷票、破解密码、论坛灌水等恶意行为。不过越来越多且越来越复杂的验证码正降低着人们的工作效率，其次验证码对于视障人员极不友好，有近九成的视障用户曾遭遇验证码难题。所以说验证码的诞生的确是技术的进步，但是也是有少许阻碍。

一、验证码技术的进步性

验证码的进步性在于有效防止某个黑客对某一个特定注册用户用特定程序暴力破解方式进行不断的尝试，实际上是用验证码是现在很多网站通行的方式（比如招商银行的网上个人银行，百度社区），我们利用比较简易的方式实现了这个功能。虽然登陆麻烦一点，但是对网友的密码安全还来说这个功能还是很有必要，也很重要。

二、验证码技术的阻碍性

这就直观反映了技术的“双刃剑”。曾经为了防止网络“灰色”爬虫而发明的验证码公共程序，现在看来可能会带来新一轮的数字鸿沟或视听鸿沟。验证码阻隔了恶意机器人爬虫，也阻碍了一部分特殊人群的正常权利的行使。是的，残障人士以及老年人也需要在技术革命的大潮中被看见、被重视，他们也是10亿用户之一，他们也在网络平台中“使用与满足”。而这一切成立的前提是技术对人无障碍。

总 结

验证码技术总的来说是一个进步的技术，不过也存在少数的阻碍，不过它的利还是大于弊的。至于它的阻碍我们还是有方法去改进它的，相信不久的将来，验证码技术变得越来越先进，更好的保障人们的安全利益。