Ладно, если не интересно то могу не отвечать...
Программам и не надо получать то что лежит в сессии, делается все на примитивном уровне, капча получаемая от пользователя методом пост... приравнивается к тому что лежит в своей же сессии, про клиент-сервер можешь тоже не рассказывать все я прекрасно знаю вышку тоже заканчивал, причем не одну... ни одна программа не взламывает сессию, и при этом отлично работает (Вот тут то и надо подумать.)

О какой лишней нагрузке ты говоришь??? используя мускул мы только уменьшаем нагрузку на сервер... не буду рассказывать и углубляться в теорию но все сессии имеют 128 б. и храняться в файлах, причем дополнительно шифруются самим сервером пхп... так что про нагрузку я бы поспорил.

MopuC Ладно проехали, я понял тут умные дядьки собрались... куда мне с моим "сервером пхп"

Хорошо, только не надо придираться к словам
понятно что пхп не сервер, но устанавливается он на сервер как физический так и програмный в виде того же апача ладно не будем о грустном...

Создаем таблу типа:

CREATE TABLE IF NOT EXISTS `tb_auto` (
  `id` int(11) NOT NULL auto_increment,
  `user` varchar(30) NOT NULL,
  `captch` int(5) NOT NULL default '0',
  `status` int(11) NOT NULL default '0',
  PRIMARY KEY  (`id`)
) ENGINE=MyISAM  DEFAULT CHARSET=cp1251 AUTO_INCREMENT=57 ;

в файлике captcha.php
вместо строчки... $_SESSION['captcha1'] = $char;

 require('config.php');
                  $user=$_SESSION["username"];
                  $us=mysql_query("select * from tb_auto where user='$user'");
                      if(mysql_num_rows($us) == 0)
                        {
	                         $us_cap = "INSERT INTO tb_auto (user,captch) VALUES('$user', '$char')";
	                         mysql_query($us_cap);
	                         mysql_close($us_cap);
                        } else
                        {
	                         $us_cap2 = "UPDATE tb_auto SET captch='$char' WHERE user='$user'";
	                         mysql_query($us_cap2);
                                       mysql_close($us_cap2);
                        }

Далее идем в файл Success.php и делаем запрос перед проверкой на равенство введенной каптчи и тем что хранится в базе, можно ради прикола кодировать через MD5, как я и сделал...

В таблице никаких удалений не делаю кроме как в поле статус апдейтом сохраняю значение=значение+1.

Вот впринципе и все при желании можно вывести в админку, но это кому как удобнее...

Все имена вымышленные, и при написании кода ни одно животное не пострадало!!!