[发明专利]基于多图层的图形验证码生成方法

说明书

本发明公开了基于多图层的图形验证码生成方法，针对B/S架构WEB应用系统中典型漏洞、流行的攻击技术、AJAX的隐藏资源获取、验证码图片识别等进行研究，提出了一种新的面向WEB验证的验证码，能够较有效的防止识别验证码；使随机验证码字符串和随机干扰字符串分层显示，从而大大增强图形验证码的安全性和有效性，能够有效的提高网站的安全性，并且减少后端进行额外的验证操作。

技术领域

本发明涉及网络安全技术领域，尤其涉及基于多图层的图形验证码生成方法。

背景技术

验证码(CAPTCHA)是一种区分用户是计算机或人的公共全自动应用程序。最早是在2002年由卡内基梅隆大学的LuisvonAhn、ManuelBlum、NicholasJ.Hopper以及IBM的JohnLangford所提出的，其主要作用是利用人机自动区别的方法防止恶意程序自动注册或登录、恶意灌水、用特定程序暴力破解帐户和密码等网络安全攻击。由于验证码技术简单、易实现、传输数据较小，因此已被各大网络系统特别是论坛性质和需用户登录的网站广泛使用，以防止论坛用户恶意灌水、自动登录等恶意行为发生，如国内排名前100名的论坛中超过80％的论坛在注册、登录或发帖等功能模块均采用了图形验证码技术。

恶意程序或真实用户登录具有图像验证码的网站系统时，应用服务器通常会提供一幅具有验证码字符串的图片供用户识别其中的验证码信息，并将这些验证码字符保存在Session中。真实用户在验证码信息输入框中输入验证码字符串并通过Web应用系统提交给应用服务器，然后应用服务器会自动验证用户提交的验证码和Session中保存的验证码是否相同。若相同，应用服务器就会响应用户的请求，否则会提示验证码输入错误并提供新的图形验证码以供用户再次输入验证码信息。

然而，恶意程序一般利用图像处理技术提取图形验证码中验证码信息或者字符串遍历的方法生成随机字符串作为验证码信息，然后伪造表单和识别的验证码一起提交给服务器，其攻击过程如图1所示。网站系统中的图形验证码一般是一幅以图片形式呈现的彩色图像，恶意程序抓取图形验证码图像之后，首先进行图像灰度变换，然后对其进行二值化处理以去除干扰字符信息，最后通过图像分割技术去除噪声，把每个字符分割开来，识别验证码中的验证码信息并提交网站系统。然而，当前大多数图形验证码只是利用随机函数生成固定个数的验证字符，再对字符进行扭曲或添加一些粘黏曲线，这些图形验证码虽然能够很容易地被真实用户区别，但同时也为恶意程序自动识别验证码信息、攻击网站系统提供了机会。

发明内容

针对上述问题，本发明提出了基于多图层的图形验证码生成方法，针对B/S架构WEB应用系统中典型漏洞、流行的攻击技术、AJAX的隐藏资源获取、验证码图片识别等进行研究，提出了一种新的面向WEB验证的验证码，能够较有效的防止识别验证码；使随机验证码字符串和随机干扰字符串分层显示，从而大大增强图形验证码的安全性和有效性。

本发明的基于多图层的图形验证码由前景图层和干扰图层构成，其中，前景层用于向用户呈现系统产生的随机长度和随机位置的验证字符串，而干扰图层用于混淆图形验证码中的验证字符串，其呈现的信息是系统随机生成的随机长度、随机字体、随机字符颜色、随机字符大小的字符串，并且前景层和背景层的字符串取自于同一个候选数组，这样更增加了前景层和背景层的相似度。为使背景图层中的干扰信息呈现出来，需要对前景图层设置一定的透明度，一般将其透明度设置为50％左右，以使恶意程序难以自动识别图形验证码中的验证字符串信息。