Эксперт раскрыл способ обхода Google ReCaptcha v2

Исследователь сумел обойти ReCaptcha v2 от Google и решил сделать свой способ достоянием общественности после того, как Google не смогла исправить эту проблему в течение нескольких месяцев.

Логическая уязвимость под названием ReBreakCaptcha была обнаружена в прошлом году, по словам исследователя, она до сих пор не устранена. Эксперт также объясняет, что способ обхода использует Google API для распознавания речи.

Эксплоит работает в три этапа: сначала следует выбрать аудио способ прохождения капчи, затем сконвертировать аудио-файл капчи и отправить его API распознавания речи и выполнить проверку.

ReCaptcha v2 отображает пользователям флажок "Я не робот", который затем обычно вызывает изображения для проверки. В случае же, когда пользователь выбирает звуковое подтверждение, будет необходимо нажать на кнопку Play и ввести слова, которые он услышит. Также можно скачать звуковой файл подтверждения.

После того, как звуковой файл проверки скачан, его можно отправить API распознавания речи от Google, перед этим обязательно сконвертировав в wav-формат. В результате, это может помочь обойти проверку путем простой команды «копировать-вставить».

Код, написанный на Python и подтверждающий слова эксперта, доступен на GitHub. Он был написан с целью последовательно реализовать все три этапа, описанных выше, и, используя библиотеку Python SpeechRecognition, осуществить распознавание речи.

Исследователь не уточнил, уведомил ли он компанию Google о наличии этой бреши.