所以若想进行恶意注册或批量的机器行为则需要绕过此类的高难度验证码。针对这种需求，人工打码平台就产生了，其通过组织真实的人来进行识别，并提交验证结果。
二）运行流程图
点击其中一个“知码打码”的打码平台项目，如图
佣工可以勾选想要接收的验证码复杂度，有选择题、填空题、鼠标点击类型等等。同时通过软件可以查看该平台积压的验证码的数量，如图为45个，用户输入结果后会很快刷新到下一个验证码。每种验证码的积分不同，验证码难度较高的积分较大些，同时网赚平台夜间工作给的积分也会多，所以我们可以看到打码平台的夜间服务费用也会高一些。我们粗略计算下这种网赚的收益，按官方说明10000个金币可兑换1元的标准，我们按一个验证码平均可可以获得100个金币计算，则打100个验证码即可获得1元，每天打10000个验证码才能获得100元。
2、普通打码平台
打码平台提供多种类型的验证码，有正常的普通字符验证码、有选择题、算术题、以及其他的特殊类型的。每种验证码的计费类型不同，我们查看某打码平台的价格类目表：
3、开发者
每个打码平台都会有很多开发者，开发者通过打码平台提供的sdk，进行开发软件。比如针对12306编写一个抢票软件，并内接该打码平台，那么羊毛党在使用该软件时只需填入打码平台的账号密码即可使用。同时开发者可以拿到提成，提成一般较高。
4、羊毛党
什么是羊毛党/strong>
有选择地参与活动，从而以相对较低成本甚至零成本换取物质上的实惠。这一行为被称为“薅羊毛”，而关注与热衷于“薅羊毛”的群体就被称作“羊毛党”。早前，“羊毛党”们主要活跃在O2O平台或电商平台。另外随着2015年互联网金融的发展，一些网贷平台为吸引投资者常推出一些收益丰厚的活动，如注册认证奖励、充值返现、投标返利等，催生了以此寄生的投资群体，他们也被称为P2P“羊毛党”。当然，使用打码平台的不一定就是羊毛党，还有可能是一些抢票的“黄牛党”或者黑色产业的欺诈者。
三）利益链
说明：佣工通过自身劳动，通过网赚平台变现，获得利益；网赚平台与打码平台进行合作，并有利益分成。打码平台将服务进行封装，提供给羊毛党。打码平台的开发者通过开发软件供羊毛党使用。同时羊毛党通过批量的注册、活动优惠等方式从网站进行获利。
说明：手机打码平台会提供各种项目的接口，比如xxx账号注册、xxx绑定手机等。羊毛党只需要调用接口，获取某个项目可用的手机号，并将该手机号填入目标网站，然后调用接口获得短信内容即可。
1、手机打码平台
手机打码平台提供各种项目，我们查看下某一手机打码平台的项目列表，如图
我们只需要调用接口，获取某个项目的手机号，填入网站，并调用接口获取短信内容即可。同时打码平台通常还会提供发送短信的接口、接收语音验证码等功能，如下为某一手机打码平台发送短信的接口
其中猫池可以理解为有通信模块，可以收发短信，可以插很多手机卡的设备。一般有8口、16口的，多的有128口的，即可以同时插128张手机卡。猫池有多种类型，现在有很多猫池是支持3G、4G的，如下为插有手机卡的猫池图
卡商通常会有大量的卡，用来做手机打码只是其中的一个业务,还有很多是用来刷钻、刷会员、刷流量等。市场价格一般在10元左右一张，且这些卡有很多也是经过实名认证的，且有很多属于0月租、0余额的特殊卡。当然可以发送短信的则是有一定余额的。我们查看下一售卖手机卡的卡商发的广告，如图
3、羊毛党
我们查看一薅羊毛的群，里面每天会更新一些活动信息
三）利益链
以及阿里巴巴的NoCaptcha
当然这也并不代表此类验证码不能被绕过，今年的Asia Blackhat上公布了一种破解Google reCaptcha的思路，具体可以参考[相关paper]
二）手机信誉库
针对短信打码平台，可以回归短信验证码的本质需求，即过滤互联网中低价值的用户。而由于手机号并非完全实名制，事实上获取一个手机号的成本并不高，所以基于手机号并不能有效筛选出真正的高价值客户。尽管手机号本身获取成本不高，但是对于大多数普通互联网用户并不频繁更换手机号，所以可以基于手机号对应的行为来建立基于手机的征信库，从而基于手机号的信誉实现筛选出高价值客户功能，而非单一的依赖用户是否拥有一个手机号。
三）风控体系
对于普通的网站而言，建立自己的用户信誉体系尤为重要。基于用户的设备信誉、用户行为等信息进行防控。
其中对于p2p金融类的网站而言，构建自己的安全风控系统尤为重要。金融类的较为敏感，对于用户的身份应当做强的安全校验，比如进行银行卡绑定的身份校验等。
四）其他
现在的手机已经需要进行实名认证，对于大量手机卡滥用会有一定的效果。但是在调查中发现其中还是有大量的特殊卡，且都经过实名认证或者是进行了企业认证的卡。另外对于手机打码平台，国家已经出台了相关政策，认定手机打码平台属于违法行为，因而这些手机打码平台也都转为地下。
作者：Ano_Tom@阿里安全，更多安全类文章，请访问阿里聚安全博客
来源：阿里安全
声明：本站部分文章及图片转载于互联网，内容版权归原作者所有，如本站任何资料有侵权请您尽早请联系jinwei@zod.com.cn进行处理,非常感谢！