DVWA靶场通关笔记-验证码绕过reCAPTCHA(Medium级别)
目录
一、reCAPTCHA
二、代码审计（Medium级别）
1、渗透准备
（1）配置security为Medium级别。
（2）配置RECAPTCHA参数
（3）再次打开靶场
2、源码分析
（1）index.php
（2）Medium.php
（3）功能函数
（4）总结
三、渗透实战
1、修改密码并提交
（1）第一次点击change
（2）第二次点击change
（3）总结
2、bp修改密码
本系列为通过《DVWA靶场通关笔记》的reCAPTCHA关卡(low，medium，high，impossible共4关）渗透集合，通过对相应关卡源码的代码审计找到讲解渗透原理并进行渗透实践，本文为reCAPTCHA关卡Medium级别关卡的渗透部分。
一、reCAPTCHA
reCAPTCHA关卡模拟了网站验证码系统的实现，在通过绕过验证码的安全验证来实现密码修改等操作，不同安全等级存在不同的绕过方法，本小节对中等级别关卡进行渗透实战。
二、代码审计（Medium级别）
1、渗透准备
（1）配置security为Medium级别。
进入到reCAPTCHA关卡Medium页面，完整URL地址具体如下所示。
http://127.0.0.1/DVWA/vulnerabilities/captcha/
（2）配置RECAPTCHA参数
进入到DVWA的config目录，如下所示找到config.inc.php文件。
修改config.inc.php文件中的如下参数，虽然页面提示api-key需要通过https://www.google.com/recaptcha/admin/create生成，但是实际上这部分可以填充为自己的内容，如下所示。
$_DVWA[ 'recaptcha_public_key' ] = 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXMOOYUAN';
$_DVWA[ 'recaptcha_private_key' ] = 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXMOOYUAN';修改后效果如下所示，记得修改后保存文件。
（3）再次打开靶场
如下所示，更新config.inc.php文件后，靶场可以正常打开，这是一个具有修改密码功能的页面。
2、源码分析
（1）index.php
进入DVWA靶场源目录，找到index.php源码。
这段代码实现了 DVWA (Damn Vulnerable Web Application) 中的reCAPTCHA关卡的演示页面，主要功能包括：DVWA的Insecure CAPTCHA模块通过四个安全等级（低、中、高、不可能）演示验证码系统的安全演进，该模块核心展示密码修改场景下的验证码实现，包含密钥检查、表单动态生成（根据等级显示不同字段）和安全警告提示，如客户端验证绕过、验证码重复使用等问题，并通过对比不同等级的实现差异，直观呈现从脆弱到安全的演进过程，最终强调应使用专业验证服务（如reCAPTCHA）配合多因素验证的整体防护思路。
- 初始化与安全级别处理
- 设置页面路径和安全依赖。
- 根据用户安全级别（低、中、高、不可能）加载不同的验证码实现。
- 验证码配置检查
- 验证是否配置了 reCAPTCHA API 密钥。
- 若未配置则显示警告并隐藏表单。
- 表单构建
- 生成密码修改表单，包含当前密码（仅 "不可能" 级别）、新密码和确认密码字段。
- 根据安全级别不同，集成不同的验证码机制（低级、中级、高级和不可能四个级别）。
- 安全措施
- "高" 和 "不可能" 级别包含 CSRF 令牌保护。
- "不可能" 级别增加了当前密码验证。
经过注释后的详细代码如下所示。
<?php
/*** DVWA Insecure CAPTCHA 演示页面* 演示不同安全等级下的验证码实现方式及潜在安全风险*/// 定义网站根目录路径
define( 'DVWA_WEB_PAGE_TO_ROOT', '../../' );// 引入必要的库文件
require_once DVWA_WEB_PAGE_TO_ROOT . 'dvwa/includes/dvwaPage.inc.php'; // DVWA核心页面库
require_once DVWA_WEB_PAGE_TO_ROOT . "external/recaptcha/recaptchalib.php"; // reCAPTCHA库// 初始化页面，要求认证并启用PHPIDS防护
dvwaPageStartup( array( 'authenticated', 'phpids' ) );// 创建新页面对象
$page = dvwaPageNewGrab();
// 设置页面标题
$page[ 'title' ] = 'Vulnerability: Insecure CAPTCHA' . $page[ 'title_separator' ].$page[ 'title' ];
// 设置页面ID
$page[ 'page_id' ] = 'captcha';
// 设置帮助按钮
$page[ 'help_button' ] = 'captcha';
// 设置源代码查看按钮
$page[ 'source_button' ] = 'captcha';// 连接数据库
dvwaDatabaseConnect();// 根据安全等级选择对应的实现文件
$vulnerabilityFile = '';
switch( $_COOKIE[ 'security' ] ) {case 'low': // 低安全等级$vulnerabilityFile = 'low.php';break;case 'medium': // 中安全等级$vulnerabilityFile = 'medium.php';break;case 'high': // 高安全等级$vulnerabilityFile = 'high.php';break;default: // 默认(不可能等级)$vulnerabilityFile = 'impossible.php';break;
}// 控制表单是否显示
$hide_form = false;
// 引入对应级别的实现文件
require_once DVWA_WEB_PAGE_TO_ROOT . "vulnerabilities/captcha/source/{$vulnerabilityFile}";// 检查reCAPTCHA密钥配置
$WarningHtml = '';
if( $_DVWA[ 'recaptcha_public_key' ] == "" ) {$WarningHtml = "<div class=\"warning\"><em>reCAPTCHA API key missing</em> from config file: " . realpath( getcwd() . DIRECTORY_SEPARATOR . DVWA_WEB_PAGE_TO_ROOT . "config" . DIRECTORY_SEPARATOR . "config.inc.php" ) . "</div>";$html = "<em>Please register for a key</em> from reCAPTCHA: " . dvwaExternalLinkUrlGet( 'https://www.google.com/recaptcha/admin/create' );$hide_form = true; // 密钥缺失时隐藏表单
}// 构建页面主体HTML
$page[ 'body' ] .= "
<div class=\"body_padded\"><h1>Vulnerability: Insecure CAPTCHA</h1>{$WarningHtml}<div class=\"vulnerable_code_area\"><form action=\"#\" method=\"POST\" ";// 密钥缺失时隐藏表单
if( $hide_form )$page[ 'body' ] .= "style=\"display:none;\"";$page[ 'body' ] .= "><h3>Change your password:</h3><br /><input type=\"hidden\" name=\"step\" value=\"1\" />\n";// 不可能等级需要验证当前密码
if( $vulnerabilityFile == 'impossible.php' ) {$page[ 'body' ] .= "Current password:<br /><input type=\"password\" AUTOCOMPLETE=\"off\" name=\"password_current\"><br />";
}$page[ 'body' ] .= " New password:<br /><input type=\"password\" AUTOCOMPLETE=\"off\" name=\"password_new\"><br />Confirm new password:<br /><input type=\"password\" AUTOCOMPLETE=\"off\" name=\"password_conf\"><br />" . recaptcha_get_html( $_DVWA[ 'recaptcha_public_key' ] ); // 插入reCAPTCHA组件// 高安全等级下的开发者注释提示
if( $vulnerabilityFile == 'high.php' )$page[ 'body' ] .= "\n\n <!-- **DEV NOTE** Response: 'hidd3n_valu3' && User-Agent: 'reCAPTCHA' **/DEV NOTE** -->\n";// 高和不可能等级添加CSRF令牌
if( $vulnerabilityFile == 'high.php' || $vulnerabilityFile == 'impossible.php' )$page[ 'body' ] .= "\n " . tokenField();$page[ 'body' ] .= "<br /><input type=\"submit\" value=\"Change\" name=\"Change\"></form>{$html} <!-- 显示操作结果 --></div><h2>More Information</h2><ul><li>" . dvwaExternalLinkUrlGet( 'https://en.wikipedia.org/wiki/CAPTCHA' ) . "</li><li>" . dvwaExternalLinkUrlGet( 'https://www.google.com/recaptcha/' ) . "</li><li>" . dvwaExternalLinkUrlGet( 'https://www.owasp.org/index.php/Testing_for_Captcha_(OWASP-AT-012)' ) . "</li></ul>
</div>\n";// 输出完整HTML页面
dvwaHtmlEcho( $page );?>（2）Medium.php
进入DVWA靶场源目录，找到Medium.php源码。
打开源码Medium.php，分析可知这段代码实现了一个两步式的密码修改功能，主要功能是处理用户密码修改请求，并通过 reCAPTCHA 验证码进行验证。整个流程分为两个步骤：
- 验证码验证阶段：验证reCAPTCHA和密码一致性（特别注意：由于本关卡这部分是乱填的，且会向https://www.google.com/recaptcha/api/siteverify提交请求，这个网站目前无法响应，故注释掉这部分验证，强制设置$resp=1，否则没法向下继续走）。
- 密码修改阶段：验证码通过后，用户确认修改，确认验证通过后执行数据库更新
详细注释后的代码如下所示。
<?php// 第一步：处理初始密码修改请求（包含CAPTCHA验证）
if( isset( $_POST[ 'Change' ] ) && ( $_POST[ 'step' ] == '1' ) ) {// 隐藏表单，准备显示下一步或错误信息$hide_form = true;// 获取用户输入的新密码和确认密码$pass_new = $_POST[ 'password_new' ];$pass_conf = $_POST[ 'password_conf' ];// 检查第三方CAPTCHA验证// $resp = recaptcha_check_answer(// $_DVWA[ 'recaptcha_private_key'], // reCAPTCHA私钥// $_POST['g-recaptcha-response'] // 用户输入的CAPTCHA响应
//);
$resp=1;// CAPTCHA验证失败处理if( !$resp ) {// 显示错误信息并重新显示表单$html .= "<pre><br />The CAPTCHA was incorrect. Please try again.</pre>";$hide_form = false;return;}else {// CAPTCHA验证成功，检查两次输入的密码是否匹配if( $pass_new == $pass_conf ) {// 显示确认页面，包含隐藏表单准备第二步提交$html .= "<pre><br />You passed the CAPTCHA! Click the button to confirm your changes.<br /></pre><form action=\"#\" method=\"POST\"><input type=\"hidden\" name=\"step\" value=\"2\" /><input type=\"hidden\" name=\"password_new\" value=\"{$pass_new}\" /><input type=\"hidden\" name=\"password_conf\" value=\"{$pass_conf}\" /><input type=\"submit\" name=\"Change\" value=\"Change\" /></form>";}else {// 密码不匹配，显示错误并重新显示表单$html .= "<pre>Both passwords must match.</pre>";$hide_form = false;}}
}// 第二步：处理最终的密码修改请求
if( isset( $_POST[ 'Change' ] ) && ( $_POST[ 'step' ] == '2' ) ) {// 隐藏表单$hide_form = true;// 获取密码（从隐藏表单字段）$pass_new = $_POST[ 'password_new' ];$pass_conf = $_POST[ 'password_conf' ];// 再次验证密码是否匹配（防御篡改）if( $pass_new == $pass_conf ) {// 密码转义防止SQL注入$pass_new = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $pass_new ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));// 对密码进行MD5哈希处理（注：MD5现在被认为不够安全）$pass_new = md5( $pass_new );// 更新数据库中的密码$insert = "UPDATE `users` SET password = '$pass_new' WHERE user = '" . dvwaCurrentUser() . "';";$result = mysqli_query($GLOBALS["___mysqli_ston"], $insert ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );// 显示成功信息$html .= "<pre>Password Changed.</pre>";}else {// 密码不匹配（可能在第二步被篡改）$html .= "<pre>Passwords did not match.</pre>";$hide_form = false;}// 关闭数据库连接((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}?>
（3）功能函数
根据如下代码可知，CheckCaptcha函数会像谷歌https://www.google.com/recaptcha/api/siteverify进行请求，CheckCaptcha和recaptcha_get_html函数的定义如下所示。
<?php/*** 验证码验证函数（兼容旧版API）* * @param string $key 私钥* @param string $response 用户提交的验证码响应* @return bool|NULL 验证成功返回true，失败返回false，异常返回NULL*/
function recaptcha_check_answer($key, $response){return CheckCaptcha($key, $response);
}/*** 发送HTTP请求验证验证码* * @param string $key 私钥* @param string $response 用户提交的验证码响应* @return bool|NULL 验证成功返回true，失败返回false，异常返回NULL*/
function CheckCaptcha($key, $response) {try {// Google reCAPTCHA验证API地址$url = 'https://www.google.com/recaptcha/api/siteverify';// 准备POST数据$dat = array('secret' => $key, // 网站私钥'response' => urlencode($response), // 用户响应（由前端生成）'remoteip' => urlencode($_SERVER['REMOTE_ADDR']) // 用户IP地址);// 配置HTTP请求选项$opt = array('http' => array('header' => "Content-type: application/x-www-form-urlencoded\r\n",'method' => 'POST','content' => http_build_query($dat) // 生成POST数据));// 创建HTTP上下文并发送请求$context = stream_context_create($opt);$result = file_get_contents($url, false, $context);// 解析JSON响应并返回验证结果return json_decode($result)->success;} catch (Exception $e) {// 发生异常时返回NULLreturn null;}
}/*** 生成前端验证码HTML代码* * @param string $pubKey 公钥* @return string HTML代码片段*/
function recaptcha_get_html($pubKey){return "<script src='https://www.google.com/recaptcha/api.js'></script><br /> <div class='g-recaptcha' data-theme='dark' data-sitekey='" . $pubKey . "'></div>";
}?>
三个函数功能详解，如下所示。
- recaptcha_check_answer
- 功能：验证用户提交的验证码是否有效（兼容旧版 API）。
- 流程：直接调用
CheckCaptcha函数进行验证。 - 安全作用：作为入口函数提供向后兼容性。
- CheckCaptcha
- 功能：向 Google 服务器发送验证请求并处理响应。
- 流程：
- 构建 POST 请求参数（私钥、用户响应、IP 地址）。
- 配置 HTTP 请求上下文（设置请求头、方法和内容）。
- 发送请求到 Google 验证 API。
- 解析 JSON 响应并提取验证结果。
- 安全作用：核心验证逻辑，防止 CSRF 攻击和机器人自动化操作。
- recaptcha_get_html
- 功能：生成前端验证码 UI 组件。
- 流程：
- 引入 Google reCAPTCHA JavaScript 库。
- 创建带有公钥的验证码容器（暗色主题）。
- 安全作用：在页面中正确渲染验证码组件，确保用户交互。
（4）总结
对于Medium关卡，两者的代码区别如下所示。
即第二步增加了一个参数passed_captcha，只有这个值为True（1）时，才可得到突破。代码依赖客户端提交的step参数来区分处理逻辑，攻击者可能直接提交第二步请求绕过验证码验证。
三、渗透实战
1、修改密码并提交
bp设置拦截报文，进入靶场，如下所示。
http://127.0.0.1/DVWA/vulnerabilities/captcha/（1）第一次点击change
将密码改为1234，效果如下所示。
此时bursuite抓包，此时step=1，报文如下所示。
此时页面也变为如下形式，提示“You passed the CAPTCHA! Click the button to confirm your changes”。
（2）第二次点击change
再次点击change，此时系统提示如下。
burpsuite抓包效果如下所示。
（3）总结
很明显修改密码共有两个报文，基于源码审计我们知道且第二个不依赖于第一个，故而渗透思路就是只对第二个报文进行修改重放，尝试修改密码。接下来我们将第2个报文发送到repeater如下所示。
2、bp修改密码
在repeater中，通过修改如下红框中的密码0000来进行渗透，具体如下所示。
将如下红框中的密码0000均改为password，并点击send，如下所示密码修改成功，说明成功渗透。
