kangle 添加谷歌recaptcha验证码防护CC，更准的防护一切CC攻击，更快更省资源，防护一切暴力穿透破解

小樱发表于 2016/1/20 20:57

是不是还愁百度云加速5S验证被破，kangle7防被破个通光，kangle验证码被攻击器识别自动破的苦恼呢。

那么来试试谷歌recaptcha验证码吧

基于云端API调用，更省资源，不会占用节点服务器性能来防御。注意，已经设置为官方原版，不再提供镜像搭建，需要进行翻墙。

验证码官网：https://www.google.com/recaptcha/

首先去官网把域名添加了，包括顶级域名，和所有二级域名。

然后获取到Site key

防护CC触发频率0 0，填入如下内容。data-sitekey中替换你自己的Site key即可。

HTTP/1.1 503 OK
Content-Type: text/html; charset=utf-8
Connection: close
Cache-Control: no-cache,no-store
Recaptcha: sakura

<html>
<head>
<script src="https://www.google.com/recaptcha/api.js" async defer></script>
</head>
<body>
<form action="{{url}}" method="POST">
<div class="g-recaptcha" data-sitekey="6Ldj5BUTAAAAAHAbVz5MZIikv4JyTS9Nabsn7kzS" data-callback="enableBtn"></div>
<br/>
<input type="submit" value="Submit" id="xyds" disabled>
</form>
<script>
function enableBtn(){
document.getElementById("xyds").disabled = false;
}
</script>
</body>
</html>

当然，recaptcha也不是最完美的，推荐动手能力强的扩展配合JS，等等算法混合防御，毕竟公布的算法总有被破的一天，说不定谷歌哪天就倒了。

独家提供基于web输出验证码，非php验证，大量降低节点负载，而且前段部署几台，随便抗百万QPS不漏回源不是问题，转载注意注明出处：http://bbs.itzmx.com/thread-10619-1-1.html

不可名 发表于 2016/1/21 06:40

这个人机验证超凶残.....

maxrate 发表于 2024/9/6 19:49

替换了key，按照这个教程为什么对接不上

小樱发表于 2024/9/6 20:31

maxrate 发表于 2024/9/6 19:49
替换了key，按照这个教程为什么对接不上

中国大陆不可用，教程应该是v1版本的验证码，看了下recaptcha已经升级到v3了，看看后台能不能创建v1的key，或者试试v2的key
或者得重写一个新教程支持新的v2和v3版本

maxrate 发表于 2024/9/6 23:26

小樱发表于 2024/9/6 20:31
中国大陆不可用，教程应该是v1版本的验证码，看了下recaptcha已经升级到v3了，看看后台能不能创建v1的k ...

可以麻烦出个新教程嘛

小樱发表于 2024/9/7 00:26

maxrate 发表于 2024/9/6 23:26
可以麻烦出个新教程嘛

经过查看与测试，本教程是"v2 复选框密钥"，截至当前2024年9月7日教程是一切正常使用的，请确保不要错误创建成recaptcha enterprise，使用永久免费的recaptcha，这两种key密钥是无法混用的

也就是这个页面点进去，跟着图操作创建V2密钥
https://www.google.com/recaptcha/admin

xhxh 发表于 2024/10/11 22:41

小樱发表于 2024/9/7 00:26
经过查看与测试，本教程是"v2 复选框密钥"，截至当前2024年9月7日教程是一切正常使用的，请确保不要错 ...

下面的preset msg选哪个呢

小樱发表于 2024/10/12 00:04

xhxh 发表于 2024/10/11 22:41
下面的preset msg选哪个呢

不选内置默认规则，使用自己填写的自定义规则

xhxh 发表于 2024/10/12 01:37

小樱发表于 2024/10/12 00:04
不选内置默认规则，使用自己填写的自定义规则

好像遇到攻击触发不了，cc改成0,0都触发不了

小樱发表于 2024/10/12 04:42

xhxh 发表于 2024/10/12 01:37
好像遇到攻击触发不了，cc改成0,0都触发不了

可以把白名单去掉来测试，谷歌在国内也是打不开的

rrrrrl0909 发表于 2024/11/2 18:24

今天用了你发的这个demo

我改了一下改成别的平台的这个验证了

代码如下

HTTP/1.1 579 OK
Content-Type: text/html; charset=utf-8
Connection: close
Cache-Control: no-cache,no-store
Recaptcha: sakura

<html>
<head>
<script src="https://js.hcaptcha.com/1/api.js" async defer></script>
</head>
<body>
<form action="{{url}}" method="POST">
<div class="h-captcha" data-sitekey="63164b66-d1a8-43b6-bae2-c22295ecbe28" data-callback="onSubmit"></div>
<br/>
<input type="submit" value="立即访问" id="xyds" disabled>
</form>
<script>
function onSubmit(){
document.getElementById("xyds").disabled = false;
}
</script>
</body>
</html>

但是返回内容中直接就暴露出即将重定向的地址了

<html>
<head>
<script src="https://js.hcaptcha.com/1/api.js" async defer></script>
</head>
<body>
<form action="/?__CBK=356c086defc96d05922b23baf1771d07a1730542858_512823" method="POST">
<div class="h-captcha" data-sitekey="63164b66-d1a8-43b6-bae2-c22295ecbe28" data-callback="onSubmit"></div>
<br/>
<input type="submit" value="立即访问" id="xyds" disabled>
</form>
<script>
function onSubmit(){
document.getElementById("xyds").disabled = false;
}
</script>
</body>
</html>

这种有什么办法规避么?比如混淆返回的页面内容?具体怎么操作呢?

小樱发表于 2024/11/2 18:56

rrrrrl0909 发表于 2024/11/2 18:24
今天用了你发的这个demo

首先，579这个状态码并不符合HTTP协议规范，会导致苹果手机等部分电脑浏览器无法识别，请使用503状态码
https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Status

对于源码中返回地址，这个不受影响，除非攻击者主动进行分析识别源码，但是大概率不可能，至少这十几年来从没听说过，因为这对攻击端的进程也会带来极大的CPU压力
如果想彻底避免这个问题，可以在源码中加入大量的乱码，或者使用js混淆，改变显示的源码，打乱网站右键查看源代码，比如说加入什么js混淆，让其人类无法分析，但是不影响浏览器正常访问，常见的混淆比如说使用terser，从外部额外引入一个obfuscated.js，来对源代码进行混淆
在或者把计算交给php，做二次回调验证，第一次通过谷歌验证码云端计算后，这样谷歌在控制台给予这个访问请求打分，通过谷歌给出的得分大于多少，在通过php返回地址，但是由于涉及到后端php，这种方式不利于用作防CC，主要用途是防机器人，防止批量注册账号，刷单等操作

rrrrrl0909 发表于 2024/11/2 22:00

还是做混淆方便,.请问可以给个混淆demo么?不会涉及到边缘计算吧....?

rrrrrl0909 发表于 2024/11/3 00:26

小樱发表于 2024/11/2 18:56
首先，579这个状态码并不符合HTTP协议规范，会导致苹果手机等部分电脑浏览器无法识别，请使用503状态码
...

我没明白这个混淆在哪里做.是在我这个代码中直接做?还是在kangle服务端返回这个请求包的的响应时做.

xhxh 发表于 2024/11/3 00:29

小樱发表于 2024/10/12 04:42
可以把白名单去掉来测试，谷歌在国内也是打不开的

可以换成国内的验证码吗

rrrrrl0909 发表于 2024/11/3 00:35

xhxh 发表于 2024/11/3 00:29
可以换成国内的验证码吗

当然可以,基本照着demo改所需参数即可

小樱发表于 2024/11/3 00:36

xhxh 发表于 2024/11/3 00:29
可以换成国内的验证码吗

论坛里有极验的教程，是国内验证码平台，楼上那位朋友也发了hcaptcha，cloudflare turnstile也是一个国内能用的验证码，注意他那个示例是错误的，需要改成503状态码

rrrrrl0909 发表于 2024/11/3 01:19

小樱发表于 2024/11/3 00:36
论坛里有极验的教程，是国内验证码平台，楼上那位朋友也发了hcaptcha，cloudflare turnstile也是一个国内能用的验证 ...

我没明白这个混淆在哪里做.是在我这个代码中直接做?还是在kangle服务端返回这个请求包的的响应时做.

小樱发表于 2024/11/3 02:46

rrrrrl0909 发表于 2024/11/3 00:26
我没明白这个混淆在哪里做.是在我这个代码中直接做?还是在kangle服务端返回这个请求包的的响应时做.

都是在html中做的，不是kangle层
如果不理解js混淆的话，可以直接在你的这个html代码里面加大量的乱码，实现方式很多的，自由发挥了

HTTP/1.1 503 OK
Content-Type: text/html; charset=utf-8
Connection: close
Cache-Control: no-cache,no-store
Recaptcha: sakura

<html>
<head>
<script src="https://js.hcaptcha.com/1/api.js" async defer></script>
</head>
<body>
<form id="myForm" method="POST">
<div class="h-captcha" data-sitekey="63164b66-d1a8-43b6-bae2-c22295ecbe28" data-callback="onSubmit"></div>
<br/>
<input type="submit" value="立即访问" id="xyds" disabled>
</form>
<script>
function onSubmit(){
document.getElementById("xyds").disabled = false;
}

document.addEventListener("DOMContentLoaded", () => {
const comment = [...document.body.childNodes].find(
node => node.nodeType === Node.COMMENT_NODE && /Recaptcha="([^"]+)"/.test(node.nodeValue)
);

const value = comment?.nodeValue.match(/Recaptcha="([^"]+)"/)?.;

if (value) {
document.getElementById("myForm").action = value;
}
});
</script>

</body>
</html>

rrrrrl0909 发表于 2024/11/5 04:16

小樱发表于 2024/11/3 02:46
都是在html中做的，不是kangle层
如果不理解js混淆的话，可以直接在你的这个html代码里面加大量的乱码 ...

亲测好评.

小樱发表于 2024/11/6 18:40

rrrrrl0909 发表于 2024/11/5 04:16
亲测好评.

这个hcaptcha就是有个大问题，，，要点半天选东西，不如谷歌的方便，不过好处是国内能访问

rrrrrl0909 发表于 2024/11/8 13:35

小樱发表于 2024/11/6 18:40
这个hcaptcha就是有个大问题，，，要点半天选东西，不如谷歌的方便，不过好处是国内能访问

小樱姐你qq多少啊.我想跟你请教一下其他的加密

rrrrrl0909 发表于 2024/11/9 02:49

我换了cf的验证.感觉还可以.樱姐能教我一下啊怎么混淆么

小樱发表于 2024/11/9 06:45

rrrrrl0909 发表于 2024/11/9 02:49
我换了cf的验证.感觉还可以.樱姐能教我一下啊怎么混淆么

不用担心，目前没有这种现象发生，等于说做js混淆或者塞乱码只会浪费节点宽带，被攻击时反而会带来更多的流量消耗，因为输出的防御页面一般会很大，比如20KB页面，1Mbps宽带只能承受每秒5次，1Gbps只能承受5000次就跑满宽带啦
然后宽带全浪费在这个页面上了，正常访客都可能拿不到宽带，特别针对国内的云厂商4Mbps小宽带vps，浪费这么多宽带比较致命，等于先给自己自残一刀

rrrrrl0909 发表于 2024/11/9 15:14

或者我可以把这个首次返回的包写的很小只引入一个js

然后具体混淆的内容在这个js文件中,如果不是浏览器打开的话.那不就不会加载这个js文件了么?带宽也就小了

小樱发表于 2024/11/9 18:43

rrrrrl0909 发表于 2024/11/9 15:14
或者我可以把这个首次返回的包写的很小只引入一个js

然后具体混淆的内容在这个js文件中,如果不是浏览器 ...

你可能想反了，混淆是写在页面上的，引入js是用来解密页面中加密数据的，反而是这个外部js文件不会很大

rrrrrl0909 发表于 2024/11/9 19:08

这倒是个问题哈,或者能不能把页面混淆做的小一些?

xhxh 发表于 2024/11/15 00:43

小樱发表于 2024/11/3 02:46
都是在html中做的，不是kangle层
如果不理解js混淆的话，可以直接在你的这个html代码里面加大量的乱码 ...

频率的话一般设置多少嘞

小樱发表于 2024/11/15 00:44

xhxh 发表于 2024/11/15 00:43
频率的话一般设置多少嘞

看站点访问量哈，一般推荐默认值为10秒内8次请求，根据不同站点在做调整
https://bbs.itzmx.com/thread-7047-1-1.html

xhxh 发表于 2024/11/16 00:07

小樱发表于 2024/11/15 00:44
看站点访问量哈，一般推荐默认值为10秒内8次请求，根据不同站点在做调整
https://bbs.itzmx.com/thread- ...

hcaptcha还能被c卡的吗，一直都加载不出来，有没有国内其他这样的平台，稳一点的

页: [1] 2

ZMX - IT技术交流论坛 - 无限Perfect，追求梦想 - itzmx.com's Archiver

kangle 添加谷歌recaptcha验证码防护CC，更准的防护一切CC攻击，更快更省资源，防护一切暴力穿透破解