本文目录一览：
求手势验证码VAPTCHA破解方法
第一步当然先要识别出轨迹，可以通过二值化做初步处理后再利用openCV来根据特征提取出大致轨迹。
然后比较麻烦的是模拟人工特征的轨迹数据，这个只能利用机器学习来做大量的学习。
最后伪造客户端的参数，设备指纹、环境变量、IP等，最简单的方法就是每次都清空伪装成第一次验证请求。
总得说来破解成本挺高的，尤其是如果轨迹变成曲线再风格化去掉一些规律化的图像信息，感觉破解几乎不可能了。干脆花点成本，人工打码吧。。整理大概思路，希望对楼主有帮助，望采纳。
暴力破解与验证码安全
暴力破解 ：暴力破解简单来说就是将密码进行逐个测试，直到找出正确的密码为止
暴力破解：是一攻击具手段，在web攻击中，一般会使用这种手段对应用系统的认证信息进行获取。 其过程就是使用大量的认证信息在认证接口进行尝试登录，直到得到正确的结果。为了提高效率，暴力破解一般会使用带有字典的工具来进行自动化操作
暴力破解漏洞：如果一个web应用系统没有采用或者采用了比较弱的认证安全策略，导致其被暴力破解的“可能性”变的比较高
暴力破解前准备 ：
1. web系统的认证安全策略：
是否要求用户设置复杂的密码；
是否每次认证都使用安全的验证码
是否对尝试登录的行为进行判断和限制（如：连续5次错误登录，进行账号锁定或IP地址锁定等）
是否采用了双因素认证
认证过程是否带有token信息
2.工具准备：准备合适的暴力破解工具以及一个有郊的字典
三个要点：
1. 对目标网站进行注册，搞清楚帐号密码的一些限制，比如目标站点要求密码必须是8位以上，字母数字组合，则可以按照此优化字典，比如去掉不符合要求的密码
2. web管理面密码使用admin/administrator/root帐号的机率较高，可以使用这三个帐号+随便一个密码字典进行暴力破解
3. 破解过程中一定要注意观察提示，如有“用户名或密码错误”“密码错误”“用户名不存在”等相关提示,可进一步利用
暴力破解分类 ：
B/S模式：浏览器服务器模式的认证过程是http协议实现的，因此可以用burpsuite抓包工具来破解
1. 不带验证码的认证的破解：可直接使用burpsuite加密码字典破解
2. 带验证码的认证的破解：如果是前端验证可使用burpsuite抓包绕过验证码来暴力破解，如果是后端验证，可使用爆破工具（如pkav）外接验证码识别器来暴力破解。（如果后台验证过程中验证码没有立即销毁，此验证码可使用24分钟）
3. 带token信息的认证的破解：（Token是服务端生成的一串字符串，以作客户端进行请求的一个令牌，客户端带上token代表具有执行某些操作的权利）token信息每次都不一样，需要burpsuite将服务器返回的token取出用于下一次请求。
C/S模式：客户端服务器模式的认证过程有多种协议实现的，因此需要用专用的集成化破解工具来破解,例如 Hydra、Bruter、X-scan
工具：
Bruter：密码暴力破解工具
Hydra：hydra是著名黑客组织thc的一款开源的暴力密码破解工具，支持多种协议，可以在线破解多种应用密码。
暴力破解的防范 ：增加web系统的认证安全策略
要求用户设置复杂的密码
每次认证都使用安全的验证码
对尝试登录的行为进行判断和限制
采用双因素认证
认证过程带token信息
验证码安全 ：
是一种区分用户是计算机还是人的全自动程序，可以防止：密码暴力破解、刷票、论坛灌水。可有效防护黑客对特定用户的密码暴力破解。
验证码分类 ：
Gif动画验证码
手机短信验证码
手机语音验证码
视频验证码
验证码常见安全问题 ：
客户端问题
服务端问题
基于Token验证
验证码太简单，容易被机器识别
暴破验证码
验证码安全防护 ：
1) 强制要求输入验证码，否则，必须实施IP策略。 注意不要被X-Forwaded-For绕过了！
2) 验证码只能用一次，用完立即过期！不能再次使用
3) 验证码不要太弱。扭曲、变形、干扰线条、干扰背景色、变换字体等。
4) 大网站最好统一安全验证码，各处使用同一个验证码接口
思路点：暴力破解和验证码安全破解时也可以熟悉认证业务过程，并试图在业务过程中寻找业务逻辑漏洞。
弱口令：属于暴力破解漏洞的一种，是web认证界面使用了常用的或者较简单的用户名密码，使暴力破解变得简单。
验证码这种人人都能破解的密码的存在的意义是什么?
首先说明，验证码当然不是人人都可以破解，验证码当然有其存在的意义，且意义重大。
说一下验证码是做什么的，为什么登录验证都要使用验证码功能呢？简单的说验证码是为了1、防止机器或者程序恶意登录进而实现跑字典破解账号和密码的行为。我们大家都知道计算机的运行速度是很快的，一个没有验证码的登录页面，假如我们知道网站用户的用户名，那么使用程序来不停的去尝试登录，对于一些密码安全级别较低的密码很快就能被暴力破解。
2、验证码的发明是利用机器或者程序无法识别不规则的图形来区分人和机器，进而防止恶意暴力破解密码的行为，但是现在确实出现了一些识别验证码的程序，有些比较高级的程序确实可以识别较为简单较为规则的验证码，或者一些平台利用人工去识别验证码等，但是这并不能说明验证码没有存在的意义。
3、关于验证码和密码安全
其实世界上并没有绝对安全，因为安全和破解的代码是在不断斗争的，那验证码来说，假如你向破解一个个人邮箱，需要绕过验证码的花销要上亿元，而邮箱内的内容并没有这些价值，你还会去花费这些钱去破解。所以验证码这个东西不是绝对安全的，它能保证网站的安全但不是绝对的，假如没有验证码，可能任何人使用一些破解的工具都能破解，也就是说验证码只能给破解增加一下成本但是不能绝对的保证安全。
识别验证码的算法
一、验证码的基本知识
1. 验证码的主要目的是强制人机交互来抵御机器自动化攻击的。
2. 大部分的验证码设计者并不得要领，不了解图像处理，机器视觉，模式识别，人工智能
的基本概念。
3. 利用验证码，可以发财，当然要犯罪：比如招商银行密码只有6位，验证码形同虚设，计
算机很快就能破解一个有钱的账户，很多帐户是可以网上交易的。
4. 也有设计的比较好的，比如Yahoo,Google,Microsoft等。而国内Tencent的中文验证
码虽然难，但算不上好。
二、人工智能，模式识别，机器视觉，图像处理的基本知识
1)主要流程：
比如我们要从一副图片中，识别出验证码；比如我们要从一副图片中，检测并识别出一张
人脸。 大概有哪些步骤呢？
1.图像采集：验证码呢，就直接通过HTTP抓HTML，然后分析出图片的url，然后下载保存就
可以了。 如果是人脸检测识别，一般要通过视屏采集设备，采集回来，通过A/D转操作，存为
数字图片或者视频频。
2.预处理：检测是正确的图像格式，转换到合适的格式，压缩，剪切出ROI，去除噪音，灰度
化，转换色彩空间这些。
3.检测：车牌检测识别系统要先找到车牌的大概位置，人脸检测系统要找出图片中所有
的人脸（包括疑似人脸）；验证码识别呢，主要是找出文字所在的主要区域。
4.前处理：人脸检测和识别，会对人脸在识别前作一些校正，比如面内面外的旋转，扭曲
等。我这里的验证码识别，“一般”要做文字的切割
5.训练：通过各种模式识别，机器学习算法，来挑选和训练合适数量的训练集。不是训练
的样本越多越好。过学习，泛化能力差的问题可能在这里出现。这一步不是必须的，有些识
别算法是不需要训练的。
6.识别：输入待识别的处理后的图片，转换成分类器需要的输入格式，然后通过输出的类
和置信度，来判断大概可能是哪个字母。识别本质上就是分类。
2)关键概念：
图像处理：一般指针对数字图像的某种数学处理。比如投影，钝化，锐化，细化，边缘检测，
二值化，压缩，各种数据变换等等。
1.二值化：一般图片都是彩色的，按照逼真程度，可能很多级别。为了降低计算复杂度，
方便后续的处理，如果在不损失关键信息的情况下，能将图片处理成黑白两种颜色，那就最好
不过了。
2.细化：找出图像的骨架，图像线条可能是很宽的，通过细化将宽度将为1，某些地方可能
大于1。不同的细化算法，可能有不同的差异，比如是否更靠近线条中间，比如是否保持联通
行等。
3.边缘检测：主要是理解边缘的概念。边缘实际上是图像中图像像素属性变化剧烈的地
方。可能通过一个固定的门限值来判断，也可能是自适应的。门限可能是图像全局的，也可
能是局部的。不能说那个就一定好，不过大部分时候，自适应的局部的门限可能要好点。被
分析的，可能是颜色，也可能是灰度图像的灰度。
机器视觉：利用计算机来模式实现人的视觉。 比如物体检测，定位，识别。按照对图像
理解的层次的差别，分高阶和低阶的理解。
模式识别：对事物或者现象的某种表示方式（数值，文字，我们这里主要想说的是数值），
通过一些处理和分析，来描述，归类，理解，解释这些事物，现象及其某种抽象。
人工智能：这种概念比较宽，上面这些都属于人工智能这个大的方向。简单点不要过分
学院派的理解就是，把人类的很“智能”的东西给模拟出来协助生物的人来处理问题，特别是
在计算机里面。