前言

最近 12306 換了套新驗證碼，又一次引發吐槽。

雖然圖片組合的方式仍有不少爭議，但無論如何能嘗試突破傳統，都是值得稱讚的。

畢竟傳統的驗證碼已飽受詬病了。為了對抗少數惡意使用者，卻降低了絕大部分正常人的使用者體驗。

每當無聊時，就會遐想各種驗證碼的方案，今天分享一個比較有趣的。

自動報警的密碼

曾有傳言，在 ATM 機上密碼倒著輸會自動報警。且不論真實性，就這想法還是有點意思的。

• 首先，也是最重要的，輸入了這個反密碼仍能取錢，這滿足了劫匪的目的。但同時已悄悄的報警，想必也逃不遠了。

• 其次，這無需引入一個額外的報警密碼。多一個就會提升複雜度，增加記錯的可能。

• 最後，即使平時輸錯，那麼正好輸成這個報警碼的概率也是很低的。（12321 這種迴文暫不考慮）

於是密碼除了可以用於驗證外，還可以在真與假之間建立一個規則，用於隱寫額外的資訊。

這個特徵，是否也可用於驗證碼呢。

自動報警的驗證碼

我們得設計一個圈套，讓正常使用者幾乎不會落入，而假人一不小心就會掉進這個陷阱裡。

通常情況下，破解驗證碼的程式都是直接抓取圖片中的畫素點，然後進行分析。而使用者看到的，則是螢幕上最終顯示出來的內容。

在絕大多數情況下，這兩者都是相同的。但我們也可以讓它變得不同，人為的製造一點麻煩出來。

例如，一個內容為 d6xm 的驗證碼：

這是個再普通不過的驗證碼，破解幾乎毫無壓力。不過，這次玩的不再是演算法上的對抗了。

我們在頁面中某個隱蔽的地方，偷偷插入一個 CSS 規則：

.captcha { transform: rotate(180deg) }

將圖片進行 180° 的旋轉。這時，呈現在使用者眼前的就是這樣一個東西了：

內容正好變成了 wx9p！

到底哪個是正確答案呢，就不用說了吧。既然我們考察的是使用者，那當然就是眼見為實的了！

但通過抓圖識別的假人看來，仍是原始的畫素點，並不知道頁面中還有這麼個小把戲，於是一不小心就中招了。

即使使用者偶爾會有輸錯，但如果能把 wx9p 拼成 d6xm，那也太巧合了，想必還是開掛的可能性比較大吧。

類似輸入報警密碼仍能取錢，我們也儘量保持這個陷阱足夠低調。即使使用者提交了 d6xm 也算通過，但後臺會悄悄的記錄下這一切。

當某個使用者達到一定可疑程度時，就可以對其採取相應的措施了。將攔截處理進行延時，以避免過早的進入對抗。

題庫模板

當然，上面只是舉了個簡單的例子。像旋轉這樣的規則，有著太多的侷限。並非所有字元旋轉後都有對應的，也不能出現迴文字串。

事實上，還可以嘗試更為通用的方法。

前面提到 ATM 取款密碼時，若能單獨設定一個報警密碼，其實也是很好的，只是要多記一條。但在驗證碼這裡，使用者是完全透明的，再複雜也是瀏覽器自動搞定的。

我們嘗試在圖片裡寫入兩套字串。一個非常明顯，另個則像水印一樣暗淡。

正常情況下，後者不仔細觀察很難發現。但通過頁面中的濾鏡，會使兩者正好相反：

於是在終端使用者眼裡，看見的反而是水印的版本。

除了這些，其實有無數多的變化方案。例如事先對圖片進行扭曲，渲染時再還原回來，等等。

當然不論怎樣，其本質都是一樣的。相比傳統的單一影象輸出，如今還多一個變幻引數，並且位於圖片之外的頁面裡。兩者必須相結合，才能渲染出最終的影象。

對於普通的傻瓜式破解程式，這道門檻即可將其原形畢露。為了獲得圖片最終被應用上的樣式，外掛不得不使用瀏覽器核心對頁面進行渲染，取代傳統直接抓介面的方式。

於是進入前端指令碼對抗階段。

對抗

對抗是沒有標準答案的。如果要有，那就是成本最低的，才能堅持的更久。

傳統的驗證碼出現十多年，已經積累了大量的破解經驗，現成的工具和演算法隨處可得，影象識別進入低成本規模化。在這樣形勢下，還停留在純粹的影象上，也難以大幅改進了。

但新增了一個渲染時的變數，情況就變得好轉。我們可以使用前端加密混淆技術、以及各種黑魔法，進行對抗。

也許某個外掛在識圖領域非常強，但對於頁面指令碼的瞭解並不深入。於是，我們就可使用另一個自己熟悉的領域，和傳統進行對抗了。

當然，最完美的驗證碼，就是沒有驗證碼，讓頁面指令碼來進行自我檢驗。可以參考：《對抗假人 —— 前後端結合的 WAF》。在過去前端技術尚不發達的年代，這套系統無需驗證碼也能抵擋絕大多數的惡意提交和 cc 攻擊。 在如今，比的就是更巧妙的方案了。

無論怎樣，總是可以有更低成本的綜合方案，來解決實際問題，而非吊死在一棵樹上。

懲罰

外掛是永遠不會消失的，而且只會越來越先進。我們不能阻止武器的製造者，但能懲罰濫用的人。

任何一個方案都會被破解，是無法長期對抗的。但可以在它的有效期內，儘可能多的揪出開掛使用者，並作出懲罰。尤其是實名制的賬號，逮到一個就少一個。

這種方案也未免每次都開啟，而是時不時的進行抽查，讓使用者在使用外掛的具有一定的畏懼性，才是最終目標，