Google reCaptcha v2

[Mr.Tr33]

Moin,

vieles hat sich bei Googles Captcha getan und man bekommt leider nicht mehr diese schönen, oder auch eher wenig schönen, Texte wie früher. Ich jedenfalls nicht.
Die 9BilderCaptchas "knacken" zu lassen dauert verdammt lange, bis mal ein richtiges dabei ist.

Kennt ihr Methoden ein Text angezeigt zu bekommen? Oder wo ich diese 9Bilder mit einer hohen Wahrscheinlichkeit knacken lassen kann?

Gruß
Mr.Tr33

[alpines]

Kann es sein das die Bildercaptchas nur kommen wenn man sie forced (von Seitenbetreiberseite aus) oder man unmenschliches Verhalten an den Tag legt?
Probier doch mal die Seite langsamer abzuarbeiten und möglichst menschliches Verhalten einzubauen bzw. menschliche Fehler.

[ironie]Ansonsten kannst du ja eine Datenbank mit all den Bildern anlegen und sie dann Captcha für Captcha vergleichen[/ironie]

[.SkyneT.]

Originally Posted by Mr.Tr33

Kennt ihr Methoden ein Text angezeigt zu bekommen? Oder wo ich diese 9Bilder mit einer hohen Wahrscheinlichkeit knacken lassen kann?

Desto "menschlicher" du man wirkt, desto leichter die reCaptchas. Wie genau das bestimmt wird weiß eigentlich keiner, weiters ändern sich oft kleine Teile des Codes, was das ganze noch einmal verkompliziert.

deathbycaptcha war bisher eigentlich immer sehr brauchbar, ob sie es bei reCaptcha noch immer sind weiß ich nicht.

[alpines]

Originally Posted by .SkyneT.

Desto "menschlicher" du man wirkt, desto leichter die reCaptchas. Wie genau das bestimmt wird weiß eigentlich keiner, weiters ändern sich oft kleine Teile des Codes, was das ganze noch einmal verkompliziert.

deathbycaptcha war bisher eigentlich immer sehr brauchbar, ob sie es bei reCaptcha noch immer sind weiß ich nicht.

Leider ist DBC beim Cracken der Captchas was die Vielfalt geht relativ beschränkt. Sie knacken bisher nur statische Captchas und keine interaktiven / dynamischen wie z.B. reCaptcha mit Bildern oder animierte Captchas wo Objekte über den Buchstaben schweben.

Das ist auch aus deren F.A.Q. zu entnehmen

Q: Do you support all types of CAPTCHAs?

A: We support most types of CAPTCHAs in the market (including noCAPTCHA), although we are working hard to cover a wider range of options. We're not supporting "Animated" CAPTCHAs at the moment - however, if you absolutely need us to solve a particular type of CAPTCHA we don't support yet, feel free to Contact Us and we promise to get back to you to see if we could support it.

Animierte Captchas sind eigentlich kein Problem da man die einzelnen Frames extrahieren kann und die Buchstaben danach zusammenlegt aber interaktive sind nach wie vor ein großes Problem - für DBC zumindest.

[Mr.Tr33]

Google geht nicht von menschenschlichem Verhalten aus ran. Einfach nur ob man schon Captchas mit dem gesetzen Cookie gelöst hat oder nicht, ob man Google benutzt hat, und Google Dienste verwendet hat. Das ist mir nur aufgefallen.

Da es mir zu anstrengend ist, ich bzw. zu faul bin, mir diesen "Klick" logisch anzuschauen und ihn nachzubauen, habe ich mir das Captcha erzwungen. Jedoch gibt es halt 9 Bilder anstatt Text.

[Shadow992]

Originally Posted by Mr.Tr33

Google geht nicht von menschenschlichem Verhalten aus ran. Einfach nur ob man schon Captchas mit dem gesetzen Cookie gelöst hat oder nicht, ob man Google benutzt hat, und Google Dienste verwendet hat. Das ist mir nur aufgefallen.

Da es mir zu anstrengend ist, ich bzw. zu faul bin, mir diesen "Klick" logisch anzuschauen und ihn nachzubauen, habe ich mir das Captcha erzwungen. Jedoch gibt es halt 9 Bilder anstatt Text.

Nur kurz dazu:
Ich habe mir das Captcha (also dieses Click-Captcha) vor einiger Zeit mal näher angeschaut und zusammenfassend kann ich nur sagen:

Holy ****!

Was ich bisher herausgefunden habe:
Google hat da eine Virtuelle Maschine in JS programmiert, diese Virtuelle Maschine obfuscatet. Dann anschließend in ASM-like Code die Check-Logik geschrieben und diesen wieder rum obfuscatet.
Zusätzlich ist der ASM-like-Code jedes mal ein Stückchen anders (habs nicht genau angeschaut vermute aber "nur" eine Vertauschung der Befehle + eventuell Abänderungen von Verschlüsselungen).

Alles in allem fährt Google also die Schiene "Security by Obscurity" und das auf einem Level, der ungefähr so viel Spaß macht wie die Java-VM zu debuggen, also echt hässlich.

Nichts desto trotz ist diese Lösung nur temporal gut (und ich bin mir sicher Google weiß das), das heißt bei denen wird sicher schon an der nächsten Generation gearbeitet.

Aber back to topic:
Nö keine Ahnung (sorry ) xD

[.SkyneT.]

Originally Posted by Shadow992

Alles in allem fährt Google also die Schiene "Security by Obscurity" und das auf einem Level, der ungefähr so viel Spaß macht wie die Java-VM zu debuggen, also echt hässlich.

Bei Javascript hat auch Google keine andere Wahl. Ohne da irgend einen neuen Standard einzuführen wird sich da auch nichts ändern. Aber so riesig wie Google und deren Internetpräsenz ist, wäre das auch denkbar

Originally Posted by alpines

Leider ist DBC beim Cracken der Captchas was die Vielfalt geht relativ beschränkt. Sie knacken bisher nur statische Captchas und keine interaktiven / dynamischen wie z.B. reCaptcha mit Bildern oder animierte Captchas wo Objekte über den Buchstaben schweben.

Im FAQ wird nirgends reCaptcha erwähnt, auf der Hauptseite steht folgendes:

New reCAPTCHA / noCAPTCHA API support!

Zurück zum urspünglichen Post, ich würde bei reCaptcha einfach aufgeben, da es dafür einfach keine zuverlässigen Solver gibt und wenn doch einmal einer auftauchen sollte, wird Google sich sehr schnell darum kümmern

[Yavuz Karasu]

Was passiert eigentlich so im Hintergrund wenn man Captchas eingibt?

[MrSm!th]

Es ist eigentlich schon länger bei traditionallen Captchas eine gängige Methode und spätestens jetzt mit diesen neuen reCaptchas die einzige halbwegs verlässliche Methode, die Aufgaben nicht programmatisch zu lösen, sondern sie einen Menschen lösen zu lassen. Es gibt Services, die du programmatisch ansteuern kannst, die zeigen das Captcha dann in dem Moment irgendwem auf der Welt an, damit er es für dich löst und liefern dir dann das Ergebnis zurück.

Und doch, Google beachtet durchaus die "Menschlichkeit". Ist mir auch schon hier beim Versenden von elite*gold aufgefallen. Vereinzelte Transaktionen sind kein Problem und du kommst direkt durch, während viele schnell und immer gleich ausgeführte Transaktionen dazu führen, dass du die Bilder zuordnen musst - mit steigender Tendenz. Beim letzten Event durfte ich manchmal 10 von den Dingern lösen, bevor eine Transaktion akzeptiert wurde. :<

Bei Javascript hat auch Google keine andere Wahl. Ohne da irgend einen neuen Standard einzuführen wird sich da auch nichts ändern. Aber so riesig wie Google und deren Internetpräsenz ist, wäre das auch denkbar

Die Wahl hat man bei keiner Sprache. Jegliche Verschleierung im clientseitigen Code ist nur Security by Obscurity. Die einzige richtige "Sicherheit" besteht darin, kritische Logik auf den Server auszulagern.

[Mr.Tr33]

Okay, und wie schaut es aus mit das Captcha knacken zu lassen? :P
deathbycaptcha.com dauert mir deutlich zu lange. Muss das selbe Captcha ca. 3x zuschicken, bis ich ansatzweise einen richtigen Rückgabewert habe (sprich, 3 oder 4 stellige Zahlen). Und dann ist es meist falsch.

[spherehunter]

Originally Posted by Mr.Tr33

Okay, und wie schaut es aus mit das Captcha knacken zu lassen? :P
deathbycaptcha.com dauert mir deutlich zu lange. Muss das selbe Captcha ca. 3x zuschicken, bis ich ansatzweise einen richtigen Rückgabewert habe (sprich, 3 oder 4 stellige Zahlen). Und dann ist es meist falsch.

"knacken" lassen wirst du es wohl nicht können. Wenn du es per http request lösen lässt, braucht man normalerweise mindestens 2 Lösungen, wenn nicht sogar 4-8, manchmal musste ich es sogar ca. 10 mal lösen lassen. Das liegt aber meistens nicht an falsch geklickten Bildern, sondern an der Tatsache, dass recaptcha v2 nicht dumm ist, sondern einen ziemlich intelligenten Algorithmus besitzt, in den viele verschiedene Faktoren einfließen, die dein Verhalten als User analysieren.
Wenn du es per Browser lösen lässt, brauchst du normalerweise nicht mehr als 2 Versuche.

Deathbycaptcha ist relativ teuer, es gibt günstigere Alternativen wie 2captcha.com, die genau die selben Ergebnisse liefern.

Kenne jemanden, der momentan an einem recaptcha v2 solver arbeitet, was auch ziemlich gut bisher funktioniert (ca. 60% - 70% Erfolgquote). Er brauch eben noch eine ganze Menge an Datasets. Realisiert wurde das ganze mit einem Bot der selbst lernt, also machine learning, in Kombination mit einer Bildanalyse. Mir fällt gerade das Wort nicht ein, aber es gibt Websiten, auf denen man irgendwelche Bilder hochladen kann und die spucken einem dann keywords aus, welche zum Bild passen. So etwas hat er eben selber realisiert. Wenn er das public macht wird es sicher die Runde im ganzen Internet machen und google wird auch drauf stoßen.

[Shadow992]

Originally Posted by spherehunter

"knacken" lassen wirst du es wohl nicht können. Wenn du es per http request lösen lässt, braucht man normalerweise mindestens 2 Lösungen, wenn nicht sogar 4-8, manchmal musste ich es sogar ca. 10 mal lösen lassen. Das liegt aber meistens nicht an falsch geklickten Bildern, sondern an der Tatsache, dass recaptcha v2 nicht dumm ist, sondern einen ziemlich intelligenten Algorithmus besitzt, in den viele verschiedene Faktoren einfließen, die dein Verhalten als User analysieren.
Wenn du es per Browser lösen lässt, brauchst du normalerweise nicht mehr als 2 Versuche.

Deathbycaptcha ist relativ teuer, es gibt günstigere Alternativen wie 2captcha.com, die genau die selben Ergebnisse liefern.

Kenne jemanden, der momentan an einem recaptcha v2 solver arbeitet, was auch ziemlich gut bisher funktioniert (ca. 60% - 70% Erfolgquote). Er brauch eben noch eine ganze Menge an Datasets. Realisiert wurde das ganze mit einem Bot der selbst lernt, also machine learning, in Kombination mit einer Bildanalyse. Mir fällt gerade das Wort nicht ein, aber es gibt Websiten, auf denen man irgendwelche Bilder hochladen kann und die spucken einem dann keywords aus, welche zum Bild passen. So etwas hat er eben selber realisiert. Wenn er das public macht wird es sicher die Runde im ganzen Internet machen und google wird auch drauf stoßen.

Klingt jetzt voll außergewöhnlich, mystisch und großartig, ist aber tatsächlich nichts was groß innovativ ist.
Wer mir nicht glaubt soll einmal OpenCV anschauen, da gibts all das schon seit Jahren.
Das Problem bei dem ganzen Zeugs ist aber (wie du schon angesprochen hast) ausreichend viele Daten herzubekommen, um das sinnvoll lösen lassen zu können. Besonders lustig wird das Datenanschaffen bei den "9 Bilder"-Captchas.

[spherehunter]

Originally Posted by Shadow992

Klingt jetzt voll außergewöhnlich, mystisch und großartig, ist aber tatsächlich nichts was groß innovativ ist.
Wer mir nicht glaubt soll einmal OpenCV anschauen, da gibts all das schon seit Jahren.
Das Problem bei dem ganzen Zeugs ist aber (wie du schon angesprochen hast) ausreichend viele Daten herzubekommen, um das sinnvoll lösen lassen zu können. Besonders lustig wird das Datenanschaffen bei den "9 Bilder"-Captchas.

Hab mir mal was über OpenCV durchgelesen und du hast recht. Das Wort was ich gesucht habe war (Objekt)Klassifizierung. Vielleicht ist es nicht großartig innovativ, aber es funktioniert. Habe bisher noch nichts vergleichbares gefunden, jedenfalls nichts was public ist. Und zumindest, wenn er die ganze Seite mit api etc. dazu coded, wird er eine Menge Geld damit machen. Treibe mich in vielen Bot foren um, haupstächlich aus den USA, und du glaubst nicht wie viele Leute so etwas brauchen. Allein als 2captcha.com online gegangen ist haben sich sofort tausende angemeldet, Geld eingezahlt und es benutzt (weil es die Konkurrenten vom Preis her alle unterboten hat).

Bin auch Web-Bot coder und habe letztes Jahr bestimmt 500$ nur für captchas ausgegeben.

Was er bisher gezeigt hat funktioniert mit dem neuen recaptcha v2, also die 9 Bilder captchas. Aber wie gesagt, die Erfolgsquote ist bisher noch zu gering um es zu verkaufen, deshalb brauch er noch ne Menge an Daten.

Aber danke nochmal für das Erwähnen von OpenCV, werd mir da mal einiges zu durchlesen und reinarbeiten, da scheint es ja ziemlich viele interessante Sachen zu geben.