В файле с капчей стартую сессию, в переменную сессии сую ранд, тот же рэнд на капчу, а в скрипте просто сверяю значения переменной сессии и инпута от пользователя, вроде всё элементарно