¿Un posible ataque de phishing CAPTCHA contra reCAPTCHA?

3

En la API de reCAPTCHA (sin plugin), la parte clave es

<iframe src="http://www.google.com/recaptcha/api/noscript?k=your_public_key"height="300" width="500" frameborder="0"></iframe><br>
 <textarea name="recaptcha_challenge_field" rows="3" cols="40">
 </textarea>
 <input type="hidden" name="recaptcha_response_field"
     value="manual_challenge">

El sitio web que incorpora esta API en realidad le pide al usuario que recupere un iframe de reCAPTCHA usando una clave pública . Supongamos que stackexchange está utilizando reCAPTCHA y tiene una clave pública A. Y quiero atacar stackexchange mediante la evasión de su CAPTCHA.

Supongamos que tengo un sitio web que tiene algunos usuarios legítimos. Puedo incrustar una API reCAPTCHA en mi sitio web que usa la clave pública A, que es la clave pública reCAPTCHA de stackexchange. Ahora, después de que los usuarios míos hayan resuelto el CAPTCHA, enviarán una identificación y solución de desafío de CAPTCHA a mi sitio web. Después de eso, puedo enviar el mismo Id. De desafío y la misma solución a stackexchange utilizando un script automatizado. Luego omito con éxito el desafío CAPTCHA de stackexchange.

No estoy seguro de si este ataque es práctico o no. Supongamos que el navegador de mis usuarios no rellena el campo de referencia HTTP en la solicitud de reCAPTCHA, lo que evita que reCAPTCHA sepa que mi sitio web realmente está usando la clave pública de stackexchange.

    
pregunta RandyTek 03.10.2014 - 20:58
fuente

1 respuesta

0

Parece que nadie va a responder a esta pregunta.

Según mi experimento, Google utiliza HTTP referer para limitar el uso de reCAPTCHA en público. Cuando registre una nueva cuenta reCAPTCHA, Google le pedirá que escriba el sitio (dominio) donde usará la clave pública reCAPTCHA. Luego, cuando un usuario visita su sitio web y envía una solicitud a reCAPTCHA para recuperar la imagen de CAPTCHA, su navegador colocará el dominio del sitio web que está visitando en el campo de referencia HTTP. Luego, reCAPTCHA sabrá si el dominio del sitio web que utiliza la clave pública es el mismo que el dominio que posee la clave pública. Si no es así, reCAPTCHA emitirá una advertencia en el navegador.

    
respondido por el RandyTek 21.10.2014 - 18:45
fuente

Lea otras preguntas en las etiquetas