Google recently launched a new vers

Google recently launched a new version of reCaptcha which claims to be more robust to bots and easy going on the humans.

While this video on youtube by Google is pretty convincing too, things got a little interesting when we dug deeper. The new approach which seems to be a sophisticated bot identification algorithm, is nothing but a mere usage of browser cookies.

So here’s what happens when you are thrown a reCAPTCHA challenge:

You are asked to solve a reCAPTCHA image the first time.
The response to the evaluation of the text string entered by you, is cached in your browser’s cookies.
The next time you visit the page, or any page which requires you to pass reCAPTCHA, the information from these cookies is used to identify whether you have passed the test before.
A simple test can be done here: https://wordpress.org/support/register.php.

After solving the reCAPTCHA image for the first time, it does not require you to solve an image when you visit again. But, once you delete your cookies, and try again … there! Back to square one, you are required to solve the image to succeed the form submission. Google has simply used cookies to retain information about your authenticity.

What does this mean for bots? Now bots can use an OCR tool to solve the information or require somebody to solve the image initially, post which, the bot can retain the cookies and continue scraping!

P.S: Well, We haven’t got to the main course yet!

The new version of reCAPTCHA can also be bypassed by another technique. This can be done by using the website’s public key (called data-sitekey). Wait, what? Yes! Let’s say a bot wanted to bypass a website X’s reCAPTCHA without actually letting a user (on website Y) know that he is allowing a bot to do so. More technically, this is called clickjacking or UI redress attack. The bot could use the data-sitekey of website X and disable the Referer header on a web page in Y where the user would be asked solve reCAPTCHA.

Once the user solves the CAPTCHA, the response (called “g-recaptcha-response”) can be used by a bot running in the background to submit a form on website X. This way, the bot could trick Google into thinking that the solved reCAPTCHA response was originating from website X (while it is actually coming from Y). Hence, the bot is able to proceed scraping on webiste X. This magically works because Google doesn’t validate the referer header if it has been disabled by the client or is empty. A genuine user just contributed to a bot scraping website X without actually realizing that he was being used as an access card.

Kết quả (Việt) 2:

Google gần đây đã tung ra một phiên bản mới của reCaptcha trong đó tuyên bố mạnh mẽ hơn để chương trình và dễ dàng đi trên con người.

Trong khi video này trên youtube của Google là khá thuyết phục quá, mọi thứ có một chút thú vị khi chúng ta đào sâu hơn. Cách tiếp cận mới mà có vẻ là một thuật toán nhận dạng bot tinh vi, là gì, nhưng một cách sử dụng đơn thuần các cookie của trình duyệt.

Vì vậy, đây là những gì sẽ xảy ra khi bạn đang ném một reCAPTCHA:

Bạn được yêu cầu để giải quyết một hình ảnh reCAPTCHA lần đầu tiên.
Các phản ứng để đánh giá của các chuỗi văn bản nhập vào bởi bạn, được lưu trữ trong các tập tin cookie của trình duyệt của bạn.
thời gian tiếp theo bạn truy cập vào trang web, hoặc bất kỳ trang nào mà đòi hỏi bạn phải vượt qua reCAPTCHA, các thông tin từ các tập tin cookie được sử dụng để xác định xem bạn đã thông qua các bài kiểm tra . trước
một thử nghiệm đơn giản có thể được thực hiện ở đây. https://wordpress.org/support/register.php

Sau khi giải quyết các hình ảnh reCAPTCHA cho lần đầu tiên, nó không yêu cầu bạn phải giải quyết một hình ảnh khi bạn truy cập một lần nữa. Nhưng, một khi bạn xóa các tập tin cookie của bạn và thử lại ... có! Trở lại một hình vuông, bạn được yêu cầu để giải quyết các hình ảnh để thành công khi nộp mẫu đơn. Google đã chỉ đơn giản là sử dụng cookie để lưu giữ thông tin về tính xác thực của bạn.

Điều này có nghĩa gì đối với chương trình? Bây giờ chương trình có thể sử dụng một công cụ OCR để giải quyết các thông tin hoặc yêu cầu một ai đó để giải quyết các hình ảnh ban đầu, sau đó, bot có thể giữ lại các cookie và tiếp tục cạo!

PS: Vâng, chúng tôi đã không nhận vào khóa học chính chưa

mới phiên bản của reCAPTCHA cũng có thể được bỏ qua bởi một kỹ thuật khác. Điều này có thể được thực hiện bằng cách sử dụng khóa công khai của trang web (được gọi là dữ liệu sitekey). Chờ đợi, những gì? Vâng! Hãy nói rằng một bot muốn bỏ qua reCAPTCHA một trang web X mà không thực sự để cho một người sử dụng (trên trang web Y) biết rằng anh ta đang cho phép một bot để làm như vậy. Về mặt kỹ thuật, điều này được gọi là tấn công clickjacking bồi thường hoặc giao diện người dùng. Các bot có thể sử dụng dữ liệu sitekey của trang web X và vô hiệu hóa các header Referer trên một trang web trong Y, nơi người dùng sẽ được yêu cầu giải quyết reCAPTCHA.

Một khi người dùng giải quyết CAPTCHA, phản ứng (gọi là "g-reCAPTCHA-phản ứng") có thể được sử dụng bởi một bot chạy ở chế độ nền phải gửi biểu mẫu trên trang web X. bằng cách này, các bot có thể đánh lừa Google vào suy nghĩ rằng phản ứng reCAPTCHA giải quyết được nguồn gốc từ trang web X (trong khi nó thực sự là đến từ Y). Do đó, các bot có thể tiến hành cạo trên webiste X. này kỳ diệu làm việc bởi vì Google không xác nhận các tiêu đề referer nếu nó đã bị vô hiệu hóa bởi các khách hàng hoặc rỗng. Một người sử dụng chính hãng chỉ đóng góp vào một bot nạo trang web X mà không thực sự nhận ra rằng ông đã được sử dụng như một thẻ truy cập.