文章总结： 本文通过实验演示如何绕过前端验证码机制进行暴力破解登录。实验发现验证码验证逻辑仅在前端实现，后端未做校验，攻击者可通过BurpSuite工具忽略验证码直接对用户名密码进行字典攻击。关键发现包括前端JS生成验证码的规律及后端验证缺失的漏洞，建议开发人员将验证逻辑移至服务端并加强认证机制防护。 综合评分： 78 文章分类： 渗透测试,WEB安全,漏洞分析,安全意识,实战经验

你的验证码就这样被破解了??？（前端篇）

原创

建哥聊安全 建哥聊安全

建哥聊安全

2026年4月8日 09:25 湖南

验证机制之绕过验证码前端验证

免责声明：严格禁止对任何未授权系统/网络进行扫描、攻击或入侵。 禁止制作/传播恶意程序，禁止参与任何网络犯罪。如擅自将本文实验技术用于非法用途，一切法律后果及责任由行为人独立承担，与作者无关。

#

前景回顾

什么！！验证码就这样破解了？（服务端）

实验目的

通过本实验，掌握使用字典暴力破解绕过验证码在前端验证的逻辑，从而暴破出用户名密码登录。

实验环境

·操作机：Win10 用户名：Administrator 密码：Sangfor!7890

·靶机：Apache + PHP

·实验地址：http://ip/pikachu/vul/burteforce/bf_client.php

实验原理

登录页面在设置用户名和密码的时候，没有遵循密码设置规则，但是增加了验证码，需要输入验证码，而验证码的逻辑又放在前端，通过抓包发现后台不会对输入错误的验证码进行验证，在浏览器中，输入错误的验证码是有提示的。前端设置的验证码如同虚设，后端又不会对验证码进行验证。那么可以略过验证码，直接进行暴力破解就可以了，借助字典利用穷举法将所有可能的用户名和密码一一尝试，进行蛮力攻击，最后暴力破解出用户名和密码，绕过验证机制。

实验步骤

1、登录”Attack”操作机，打开浏览器，访问http://ip/pikachu/vul/burteforce/bf_client.php

2、随便输入用户名为：“root”，密码为“123456”以及随意验证码进行提交，弹框提示验证码输入错误

3、点击“确定”，还是随便输入用户名为：“root”，密码为“123456”以及正确验证码

4、打开桌面的的“Burp”文件夹，双击“BURP.cmd”启动Burp Suite抓包工具

5、切换到“Proxy”代理模块的“Options”，查看Bp的代理

6、切换到浏览器，选择火狐插件中的代理（配置浏览器的的代理），与Bp的代理一致

7、点击“Login”，提交输入的用户名、密码以及验证码，Bp成功抓取数据包（验证码输入错误时，无法抓取到数据包，只有验证码输入正确时才能抓到数据包，由此可以判断验证码的验证逻辑在前端）

8、右键，选择“Send to Intruder”以及“Send to Repeater”，分别将数据包发送到暴破模块和重发模块

9、在“Repeater”中对数据包修改验证码为任意，然后点击“Send”放包，查看响应包发现后台不会对输入错误的验证码进行验证，在浏览器中，输入错误的验证码是有提示的

10、切换到浏览器，右键选择“查看页面源代码”，浏览代码中发现验证码的验证逻辑是在客户端的实现规则

11、通过前端验证码的验证逻辑的代码可以发现Javascript会从0-9和26个大写字母中随机挑选5个作为验证码，然后用 validate() 去验证，并且每点一次验证码，就会调用 createCode() 改变验证码

12、前端设置的验证码如同虚设，后端不会对验证码进行验证。那么不用理会验证码，直接进行暴力破解。切换到BurpSuite的的“Intruder”模块

13、点击“Clear §”，清除所有Payload位置标志，重新选择“username”和“password”两个需要暴破的位置标志，点击“Add §”

14、将攻击模式设置为“Cluster bomb”

15、切换到“Payloads”，设置攻击载荷。设置攻击位置1的payload类型为”Simple list”，并加载用户名字典

16、设置攻击位置2的payload类型为”Simple list”，并加载密码字典

17、点击“Start attack”，开始暴力破解，暴破成功

实验总结

通过本实验，掌握在遇到登录页面增加有验证码验证，首先判断是前端验证还是后端验证，前端设置的验证码如同虚设，就可以略过验证码，直接使用字典暴力破解，对暴破的结果根据长度进行分析，长度值与其他不同的就是正确结果，从而绕过登录验证机制。

往期文章：

危险函数之call_user_func函数

快检查下你服务器中间件，存不存在这个漏洞

远程命令执行&一句话木马

基线管理之Windows安全配置

原来你的操作系统信息是这样被泄露的

这样改完，购物直接0元购？

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：建哥聊安全 建哥聊安全 建哥聊安全《你的验证码就这样被破解了??？（前端篇）》