Un genere di attacco particolarmente fastidioso, che fa parte della famiglia degli spam, è l’utilizzo automatizzato di form di registrazione o di contatto o commenti o altro. In questo caso, l’exploit avviene con l’utilizzo di appositi software che compilano in automatico i form. Come risultato vi potreste trovare 10000 pending user nella vostra applicazione, oppure 5000 richieste di contatto.
Per evitare questo genere di attacchi, il sistema più diffuso è quello dei CAPTCHA, ovvero delle immagini (quindi non leggibili direttamente) nelle quali figura una sequenza alfanumerica casuale. Viene quindi richiesto di inserire tale sequenza nel form a prova dell’intervento umano nel processo in corso.

Il web è pieno di tutorial su come implementare questa soluzione che per altro è abbastanza semplice, ma che contiene almeno due criticità.

1. Con l’avvento di questi metodi, anche i software per gli attacchi sono diventati più raffinati ed a volte riescono a leggere, con sistemi simili ai software OCR degli scanner, le immagini captcha. Di riflesso, queste immagini diventano sempre più complesse: con meno contrasto, caratteri molto ruotati o deformati, sfondi con linee e puntini, eccetera. Tutto ciò crea dei problemi di accessibilità a volte anche al sottoscritto, la cui vista è perfetta.
2. Un problema più specifico è inoltre la necessità di disporre della libreria GD, cosa purtroppo non scontata se siamo in hosting.

Quello che vi presento in questo articolo è un metodo meno raffinato ma che ha il pregio della semplicità, il metodo Q&A (question and answer).
Si tratta di chiedere all’utente di rispondere ad una semplicissima domanda e di verificare se la risposta è corretta.
Iniziamo a stilare una lista di domande e di risposte separate dal simbolo “:” e salviamole in file.txt

Come si chiama l'animale che abbaia?:cane
Di che colore è l'erba?:verde
Come si chiama l'animale che miagola?:gatto
Come si dice sì in ingelse?:yes
Cosa c'è all'opposto del sud?:nord

Naturalmente scrivetene il più possibile.

Ora prepariamo il file form.php. Prima di stampare a video il form, prepariamo la domanda.

<?php
session_start();
 
$list = file("file.txt");
$index = rand(0,count($list) - 1);
 
$row = $list[$index];
$question = explode(":", $row);
 
$_SESSION['answer'] = $question[1];
 
?>

Come vedete avvio una sessione. In seguito creo un array con le righe del file contenente le domande e le risposte.
Scelgo quindi una chiave casuale e registro in $row la riga corrispondente a quella chiave. Explodo sul “:” e inserisco la risposta in $_SESSION['answer'].

A questo punto posso stampare il form:

<form action="result.php" method="POST">
 
	Nome:<br>
	<input type="text" name="nome" /><br><br>
	Cognome:<br>
	<input type="text" name="cognome" /><br><br>
	<?php echo $question[0]; ?><br>
	<input type="text" name="answer" /><br><br>
	<input type="submit" value="invia" />
 
</form>

Come vedete faccio passare la risposta nel campo answer.
Vi posto form.php completo

<?php
session_start();
 
$list = file("file.txt");
$index = rand(0,count($list) - 1);
 
$row = $list[$index];
$question = explode(":", $row);
 
$_SESSION['answer'] = $question[1];
 
?>
 
<form action="result.php" method="POST">
 
	Nome:<br>
	<input type="text" name="nome" /><br><br>
	Cognome:<br>
	<input type="text" name="cognome" /><br><br>
	<?php echo $question[0]; ?><br>
	<input type="text" name="answer" /><br><br>
	<input type="submit" value="invia" />
 
</form>

Ora vediamo il file result.php

<?php
session_start();
 
if(trim(strtolower($_POST['answer'])) == trim($_SESSION['answer']))
{
	echo 'Ciao ' . $_POST['nome'] . ' ' . $_POST['cognome'];
}
else
{
	echo 'errore nel controllo';
}
 
?>

Alla risposta applico trim per eliminare eventuali spazi e strtolower portando così la stringa tutta in minuscolo (nel caso in cui l’utente abbia utilizzato caratteri maiuscoli). Se corrisponde alla risposta che abbiamo precedentemente registrato in sessione, il controllo è superato.