[驳] PHPer17期《尝试抛弃验证码》

我感觉，《尝试抛弃验证码》这篇文章所说的方法，破解方法很简单，只要在提交表单之前，读一下Ajax访问的那个页面，把Cookie与页面内容读过来，再放入头与POST流，就可以了。所以，对于产品级的程序来说，根本不能用这种方法，Discuz就弄了一个耗资源的Formhash，我照样也做了一个灌水机，只要不是验证码或者验证问题，用程序都可以轻松过关。

作者: 飞翔de希望发布时间: 2009-02-27

哪看的？放弃验证码不好吧，虽然验证码能破解，但还是能起很大作用

作者: lxylxy888666 发布时间: 2009-02-27

欢迎大家将自己的观点发表出来,楼主不知道可不可以针对这个写一篇相关的文章?百家争鸣,百花齐放.

作者: qxhy123 发布时间: 2009-02-27

DZ的Formhash一点用就没用，，抓取模拟提交照样水，
觉得防灌水带随机问题比较不错

作者: lxylxy888666 发布时间: 2009-02-27

好喜欢LZ，有问题就提出！！我觉得验证码是非常有用的

作者: liexusong 发布时间: 2009-02-28

杂志上那篇文章的令牌和DZ的Formhash跟验证码都没有什么关系，验证码是防止机器人，而令牌和DZ的Formhash一样，是为了防止跨站请求伪造的攻击。。

作者: 月黑风高发布时间: 2009-03-03

dz的Formhash我觉得是用来判断is_post的。

作者: myBe 发布时间: 2009-03-03

确实，很多人都提到LZ的问题了
我那篇文章主要是根据原作者的内容翻译过来的
其实验证码目前为止还是很有用的

作者: linvo 发布时间: 2009-03-06

你能做出discuz的灌水器是因为他开源!
验证码使用的范围很广泛.比如网游的防外挂等等..
存在既有其价值

作者: TankMe 发布时间: 2009-03-06

做开源的灌水机很容易，但是不开源也可以做的，我在做灌水机的时候，根本就没看Discuz的源代码，只是在post.php的头部加入print_r($_POST)和print_r($_SERVER)来看提交的数据，这些东西，用Firefox的插件依然可以看到，只要知道它提交了哪些内容，找到这些内容，直接提交就可以了。

作者: 飞翔de希望发布时间: 2009-03-06

DZ的formhash绝对是狗血。。。

我学perl的LWP就是拿它练手的。。。。。。

作者: xsir317 发布时间: 2009-03-10

什么叫狗血啊？

作者: 飞翔de希望发布时间: 2009-03-11

恩
没有验证码是不行滴，估计写文章的人技术低微吧。

作者: xieaotian 发布时间: 2009-03-12

验证码对用户体验不够好

作者: microwind 发布时间: 2009-03-30

有见地

作者: juicewall 发布时间: 2009-04-01

[驳] PHPer17期《尝试抛弃验证码》

热门频道