Каптча promzona.kg и смех и грех

Доброй ночи!

Писал уже как-то о обходе каптчи на сайте бишкекского клуба Промзона. Вот тута: Обход капчи: promzona.kg.

Но разработчики не сидят на месте, а улучшают свой код! =) Встречайте!

Способ несколько поменяли...правда первый способ все также отрабатывает, но hidden поле уже не то =) Правда соответствие картинка-поле осталось. Так что же это за поле?

Смотрим картинку:

Смотрим код формы:

<img src="../images/ciferki/20.gif" border="0" Alt="Введите ответ указанный на картинке" Title="Введите ответ указанный на картинке">

<input type="hidden" name="kod_ciferki" value="c20ad4d76fe97759aa27a0c99bff6710">

Значение поля kod_ciferki подозрительно похоже на MD5. Идем на http://www.md5.cz/, проверяем. Ага, 12! Подозрительно косимся на 8+4...

Пишем проверочный код:

import urllib, urllib2
import md5

email = 'fryday.kg@gmail.com'
fio = 'abc def'
mes = 'weak captcha'
ciferki = 'her morzhovii'
kod_ciferki = md5.new(ciferki).hexdigest()

headers = { 'email' : email,
   'fio' : fio,
   'mes' : mes,
   'kod_ciferki' : kod_ciferki,
   'ciferki' : ciferki,
   'info' : '123'}


data = urllib2.urlopen('http://promzona.kg/obratnaia_sviaz', urllib.urlencode(headers)).read()

print u'успешно отправлено' in data.decode('cp1251')

Медленно сползаю :)

Посмотрел еще парочку сайтов конторы inform.kg, есть забавные %) Вот тут например суровая каптча) правда она по умолчанию не отрабатывает =)

Ребята, не мутите херню! Не жалейте денег на разработку!

P.S. а еще у промзоны 2 XSS на сайте есть %) правда через POST только =)
P.P.S. Статья ознакомительная, о том как не надо делать. Администрация оповещена о багах.