hunt-captcha-bypass

⚠️ USO AUTORIZADO APENAS Esta habilidade destina-se apenas a fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL, IP, conta ou recurso exato do alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça somente leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Prioridade de Teste Autônomo

O teste mais rápido: basta omitir o campo CAPTCHA completamente. A maioria dos bugs de bypass de CAPTCHA são validação apenas do lado do cliente.

Padrão 1 — Omitir o campo CAPTCHA (mais comum, mais automatizável):

1. GET no formulário/endpoint que exibe um CAPTCHA para entender o nome do campo (geralmente g-recaptcha-response, captcha, captcha_token, captcha_answer, h-captcha-response)
2. POST no formulário com TODOS os campos EXCETO o campo CAPTCHA
3. Se a ação for bem-sucedida (200, redirecionamento ou mensagem de "sucesso") → sem validação CAPTCHA do lado do servidor
4. Prova: a ação de mudança de estado é concluída sem um campo CAPTCHA válido (compare com uma solicitação de linha de base que o inclui)

Padrão 2 — Valor CAPTCHA vazio ou nulo: Em vez de omitir o campo completamente, inclua-o com uma string vazia, null, 0 ou undefined:

captcha=&email=test@example.com&password=test123

Alguns aplicativos validam a presença do campo, mas não o conteúdo.

Padrão 3 — Repetir um token CAPTCHA resolvido anteriormente:

1. Complete um desafio CAPTCHA legítimo e capture o token g-recaptcha-response
2. Envie uma segunda solicitação imediatamente com o MESMO valor de token
3. Se a segunda submissão também for bem-sucedida → o token não é de uso único (ataque de repetição)
4. Um token repetido pode ser compartilhado entre solicitações automatizadas

Padrão 4 — Testar sem CAPTCHA em endpoints semelhantes: Alguns aplicativos adicionam CAPTCHA ao formulário de registro, mas esquecem a redefinição de senha, o endpoint da API ou o caminho da API móvel (/api/register vs /register). Tente a mesma ação através do caminho da API sem nenhum campo CAPTCHA.

Padrão 5 — Desafios de "comprovação de automação" com limite de taxa/taxa de transferência: Alguns aplicativos definem o "bypass" de CAPTCHA como simplesmente exceder a taxa que um humano poderia sustentar plausivelmente — por exemplo, "N submissões em T segundos" — verificado por um middleware que conta as SOLICITAÇÕES QUE CHEGAM à rota, não os resultados bem-sucedidos. Cargas úteis de lixo/placeholder satisfazem isso exatamente como as válidas, pois o contador é incrementado independentemente de a validação da própria solicitação ser bem-sucedida.

Nota de tempo (contadores de janela deslizante): não resolva isso uma solicitação por vez — um ritmo sequencial (segundos entre cada solicitação) estruturalmente não pode atingir N solicitações dentro de uma janela deslizante curta, e emitir mais solicitações em série não resolve isso. Um padrão de falha típico é 12 solicitações distribuídas em ~250 segundos, quando a verificação requer ~10 solicitações em 20 segundos. Em vez disso, envie as solicitações concorrentemente (por exemplo, "concurrency": N em uma única chamada de solicitação, ou qualquer primitivo de solicitação paralela que sua ferramenta ofereça, com N >= a contagem necessária) para que elas cheguem simultaneamente e satisfaçam a janela deslizante trivialmente. Verifique primeiro a validação de campo obrigatório do próprio endpoint (por exemplo, um campo rating que não pode ser nulo) para que a carga útil concorrente seja pelo menos bem formada o suficiente para atingir o middleware de contagem, mesmo que outros campos (como a própria resposta do CAPTCHA) estejam incorretos ou reutilizados.

O que pular em testes automatizados: Resolver reCAPTCHA/hCaptcha real programaticamente (OCR, bypass de áudio) requer serviços externos. Tente apenas se os padrões 1-4 falharem e o orçamento de teste permitir.

Prova: Qualquer ação bem-sucedida de mudança de estado (conta criada, login bem-sucedido, formulário enviado) que foi concluída sem um token CAPTCHA válido confirma o bypass.

Classes de Vulnerabilidade Nesta Habilidade

1. Validação de CAPTCHA Apenas do Lado do Cliente

O JavaScript oculta/desabilita o botão de envio até que o CAPTCHA seja resolvido, mas o servidor nunca verifica o token CAPTCHA. Chamadas de API diretas ignoram completamente o portão da interface do usuário.

2. CAPTCHA Não Vinculado à Sessão ou Ação

…