python CSRF跨站请求伪造

 <!DOCTYPE html>

 <html lang="en">

 <head>

     <meta charset="UTF-8">

     <title>Title</title>

 </head>

 <body>

     <form method="POST" action="/csrf1.html/">

         {% csrf_token %}

         <input type="text" name="user">

         <input type="submit" value="提交"/>

     </form>

 </body>

 </html>

csrf.html

 """day73 URL Configuration

 The `urlpatterns` list routes URLs to views. For more information please see:

     https://docs.djangoproject.com/en/1.10/topics/http/urls/

 Examples:

 Function views

     1. Add an import:  from my_app import views

     2. Add a URL to urlpatterns:  url(r'^$', views.home, name='home')

 Class-based views

     1. Add an import:  from other_app.views import Home

     2. Add a URL to urlpatterns:  url(r'^$', Home.as_view(), name='home')

 Including another URLconf

     1. Import the include() function: from django.conf.urls import url, include

     2. Add a URL to urlpatterns:  url(r'^blog/', include('blog.urls'))

 """

 from django.conf.urls import url

 from django.contrib import admin

 from app01 import views

 urlpatterns = [

     url(r'^csrf1',views.csrf1),

 ]

urls

 """

 Django settings for day73 project.

 Generated by 'django-admin startproject' using Django 1.10.6.

 For more information on this file, see

 https://docs.djangoproject.com/en/1.10/topics/settings/

 For the full list of settings and their values, see

 https://docs.djangoproject.com/en/1.10/ref/settings/

 """

 import os

 # Build paths inside the project like this: os.path.join(BASE_DIR, ...)

 BASE_DIR = os.path.dirname(os.path.dirname(os.path.abspath(__file__)))

 # Quick-start development settings - unsuitable for production

 # See https://docs.djangoproject.com/en/1.10/howto/deployment/checklist/

 # SECURITY WARNING: keep the secret key used in production secret!

 SECRET_KEY = 'ct2d2^2k(l&%n@96xsd9y#0@!^_5a^peanb69ndouz&gx6%n3o'

 # SECURITY WARNING: don't run with debug turned on in production!

 DEBUG = True

 ALLOWED_HOSTS = []

 # Application definition

 INSTALLED_APPS = [

     'django.contrib.admin',

     'django.contrib.auth',

     'django.contrib.contenttypes',

     'django.contrib.sessions',

     'django.contrib.messages',

     'django.contrib.staticfiles',

     'app01.apps.App01Config',

 ]

 # csef设置地方如下：

 MIDDLEWARE = [

     'django.middleware.security.SecurityMiddleware',

     'django.contrib.sessions.middleware.SessionMiddleware',

     'django.middleware.common.CommonMiddleware',

    #'django.middleware.csrf.CsrfViewMiddleware',

     'django.contrib.auth.middleware.AuthenticationMiddleware',

     'django.contrib.messages.middleware.MessageMiddleware',

     'django.middleware.clickjacking.XFrameOptionsMiddleware',

 ]

 ROOT_URLCONF = 'day73.urls'

 TEMPLATES = [

     {

         'BACKEND': 'django.template.backends.django.DjangoTemplates',

         'DIRS': [os.path.join(BASE_DIR,'templates')]

         ,

         'APP_DIRS': True,

         'OPTIONS': {

             'context_processors': [

                 'django.template.context_processors.debug',

                 'django.template.context_processors.request',

                 'django.contrib.auth.context_processors.auth',

                 'django.contrib.messages.context_processors.messages',

             ],

         },

     },

 ]

 WSGI_APPLICATION = 'day73.wsgi.application'

 # Database

 # https://docs.djangoproject.com/en/1.10/ref/settings/#databases

 # DATABASES = {

 #     'default': {

 #         'ENGINE': 'django.db.backends.sqlite3',

 #         'NAME': os.path.join(BASE_DIR, 'db.sqlite3'),

 #     }

 # }

 DATABASES = {

     'default': {

         'ENGINE': 'django.db.backends.mysql',

         'NAME': 'ff3',

         'USER': 'root',

         'PASSWORD': '',

         'HOST': 'localhost',

         'PORT': 3306,

     }

 }

 # Password validation

 # https://docs.djangoproject.com/en/1.10/ref/settings/#auth-password-validators

 AUTH_PASSWORD_VALIDATORS = [

     {

         'NAME': 'django.contrib.auth.password_validation.UserAttributeSimilarityValidator',

     },

     {

         'NAME': 'django.contrib.auth.password_validation.MinimumLengthValidator',

     },

     {

         'NAME': 'django.contrib.auth.password_validation.CommonPasswordValidator',

     },

     {

         'NAME': 'django.contrib.auth.password_validation.NumericPasswordValidator',

     },

 ]

 # Internationalization

 # https://docs.djangoproject.com/en/1.10/topics/i18n/

 LANGUAGE_CODE = 'en-us'

 TIME_ZONE = 'UTC'

 USE_I18N = True

 USE_L10N = True

 USE_TZ = True

 # Static files (CSS, JavaScript, Images)

 # https://docs.djangoproject.com/en/1.10/howto/static-files/

 STATIC_URL = '/static/'

 STATICFILES_DIRS =(

     os.path.join(BASE_DIR,'static'),

 )

settings设置

注：在django中，如果setting里面# 'django.middleware.csrf.CsrfViewMiddleware',被注释，则没有csrf限制，

　    否则有csrf限制。

　　如果有csrf有限制或无限制，应用时2则有以下解决方案：

<br>#******************基本应用**********************

# a.（HTML表单中form表单添加）

    # { % csrf_token %}

# def csrf1(request):

#     if request.method == 'GET':

#         return render(request,'csrf1.html')

#     else:

#         return HttpResponse('哥们干啥来了')

# ***********************************************　

#******************全站禁用***********************

# b.(settings设置里面）

# 'django.middleware.csrf.CsrfViewMiddleware',

#************************************************

　　

#******************局部禁用***********************

# c.（全站使用前提下可以使用局部禁用）

# 'django.middleware.csrf.CsrfViewMiddleware',

# from django.views.decorators.csrf import csrf_exempt

# @csrf_exempt

# def csrf1(request):

#     if request.method == 'GET':

#         return render(request, 'csrf1.html')

#     else:

#         return HttpResponse('ok')

# ************************************************

# ****************局部使用*************************

# d.（全站禁用前提下可以使用局部使用）

# 'django.middleware.csrf.CsrfViewMiddleware',

# from django.views.decorators.csrf import csrf_protect

# @csrf_protect

# def csrf1(request):

#     if request.method == 'GET':

#         return render(request, 'csrf1.html')

#     else:

#         return HttpResponse('ok')

# ************************************************

#****************CBV中添加装饰器********************

# c.特殊CBV

# from django.views import View

# from django.utils.decorators import method_decorator

# @method_decorator(csrf_protect, name='dispatch')

# class Foo(View):

#     def get(self, request):

#         pass

#

#     def post(self, request):

#         pass

# def wrapper(func):

#      def inner(*args,**kwargs):

#          return func(*args,**kwargs)

#      return inner

 # 1. 指定方法上添加装饰器

    # class Foo(View):

    #     @method_decorator(wrapper)

    #     def get(self,request):

    #         pass

    #     def post(self,request):

    #         pass

# 2. 在类上添加

    #     @method_decorator(wrapper,name='dispatch')     #全部类添加

    #     @method_decorator(wrapper, name='get')         # 只给get添加

    #     @method_decorator(wrapper, name='post')        # 只给post添加

    #     class Foo(View):

    #         def dispatch(self,request,*args,**kwargs)

    #               pass

    #         def get(self,request):

    #             pass

    #         def post(self,request):

    #             pass

#************************************************

二.Django之CSRF（Ajax）请求

def csrf1(request):

     if request.method == 'GET':

         return render(request,'csrf1.html')

     else:

         return HttpResponse('哥们干啥来了')

views.py<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>Title</title>

</head>

<body>

    <form method="POST" action="/csrf1.html/">

        {% csrf_token %}

        <input type="text" name="user">

        <input type="submit" value="提交"/>

        <a onclick="submitForm();">Ajax提交</a>

    </form>

<script src="/static/jquery-3.2.1.js"></script>

<script src="/static/jquery.cookie.js"></script>

<script>

第一种方式：

    function submitForm() {

        var csrf = $('input[name="csrfmiddlewaretoken"]').val();

        var user = $('#user').val();

        $.ajax({

            url:'/csrf1.html',

            type:'POST',

            data:{"user":user,'csrfmiddlewaretoken':csrf},

            success:function (arg) {

                console.log(arg);

            }

        })

    }

第二种方式：

{#    获取Console值：在浏览器Console上输入document.cookie#}

    function submitForm() {

        var token = $.cookie('csrftoken');

        var csrf = $('input[name="csrfmiddlewaretoken"]').val();

        var user = $('#user').val();

        $.ajax({

            url:'/csrf1.html',

            type:'POST',

            headers:{'X-CSRFToken':token},

            data:{"user":user},

            success:function (arg) {

                console.log(arg);

            }

        })

    }

</script>

</body>

</html>

python CSRF跨站请求伪造的更多相关文章

  1. python 全栈开发，Day87(ajax登录示例,CSRF跨站请求伪造,Django的中间件,自定义分页)

    一.ajax登录示例 新建项目login_ajax 修改urls.py,增加路径 from app01 import views urlpatterns = [ path('admin/', admi ...

  2. 什么是CSRF跨站请求伪造？(from表单效验csrf-ajdax效验csrf-Ajax设置csrf-CBV装饰器验证csrf)

    目录 一:csrf跨站请求伪造 1.什么是CSRF? 2.CSRF攻击案例(钓鱼网站) 3.钓鱼网站 内部原理 4.CSRF原理(钓鱼网站内部本质) 5.从上图可以看出,要完成一次CSRF攻击,受害者 ...

  3. Django之CSRF跨站请求伪造（老掉牙的钓鱼网站模拟）

    首先这是一个测试的代码 请先在setting页面进行下面操作 注释完成后,开始模拟钓鱼网站的跨站请求伪造操作: 前端代码: <!DOCTYPE html> <html lang=&q ...

  4. ajax向Django前后端提交请求和CSRF跨站请求伪造

    1.ajax登录示例 urls.py from django.conf.urls import url from django.contrib import admin from app01 impo ...

  5. 第三百一十五节，Django框架，CSRF跨站请求伪造

    第三百一十五节,Django框架,CSRF跨站请求伪造  全局CSRF 如果要启用防止CSRF跨站请求伪造,就需要在中间件开启CSRF #中间件 MIDDLEWARE = [ 'django.midd ...

  6. Django中的CSRF(跨站请求伪造)

    Django中的CSRF(跨站请求伪造) Django CSRF  什么是CSFR 即跨站请求伪装,就是通常所说的钓鱼网站. 钓鱼网站的页面和正经网站的页面对浏览器来说有什么区别? (页面是怎么来的? ...

  7. Django框架 之 基于Ajax中csrf跨站请求伪造

    Django框架 之 基于Ajax中csrf跨站请求伪造 ajax中csrf跨站请求伪造 方式一 1 2 3 $.ajaxSetup({     data: {csrfmiddlewaretoken: ...

  8. 十三 Django框架，CSRF跨站请求伪造

     全局CSRF 如果要启用防止CSRF跨站请求伪造,就需要在中间件开启CSRF #中间件 MIDDLEWARE = [ 'django.middleware.security.SecurityMidd ...

  9. Web框架之Django_09 重要组件（Django中间件、csrf跨站请求伪造）

    摘要 Django中间件 csrf跨站请求伪造 一.Django中间件: 什么是中间件? 官方的说法:中间件是一个用来处理Django的请求和响应的框架级别的钩子.它是一个轻量.低级别的插件系统,用于 ...

随机推荐

  1. Maven 项目生成jar运行时提示“没有主清单属性”

    新建了一个Maven的项目,mvn compile和mvn package后生成了jar文件,然后直接到target目录下去执行java -jar xxx.jar命令运行jar包时出现了"x ...

  2. susmote个人网站博客论坛（TexTec | 关注互联网技术，传播极客精神）

    网站地址 www.susmote.com www.textec.club 欢迎您的访问

  3. react+redux+webpack+git技术栈

    一.git bash here mdkr cnpm init -y ls -a ls -l ls -la隐藏的也可查看 cat package.json 二.npm npm i webpack-dev ...

  4. WEB 表格测试点

    Web页面的表格测试点: 1.表格列名 2.表格翻页.表格跳转到多少页.最后一页.首页 3.表格每页显示的数据, 数据的排序 4.表格无数据 5.表格支持的最大数据量 6.表格中数据内容超长时,显示是 ...

  5. Linux命令 ls -l s输出内容含义详解

    1. ls  只显示文件名或者文件目录 2. ls -l(这个参数是字母L的小写,不是数字1) 用来查看详细的文件资料 在某个目录下键入ls -l可能会显示如下信息: 文件属性(占10个字符空间)  ...

  6. 安装LR11 时，安装Microsoft Visual c++2005 sp1运行时组件，就会提示命令行选项语法错误，键入“命令/?”可获取帮肋信息

    1.进入loadrunner-11\Additional Components\IDE Add-Ins\MS Visual Studio .NET 2.安装:LRVS2005IDEAddInSetup ...

  7. [BZOJ 1040][ZJOI2008]骑士

    1040: [ZJOI2008]骑士 Time Limit: 10 Sec  Memory Limit: 162 MBSubmit: 5403  Solved: 2060[Submit][Status ...

  8. Beta冲刺-用户测试报告

    一.项目概述 1.1项目名称 高校学生征信系统 1.2项目简介 此项目基于SSH框架,力图为学生提供征信服务和信用相关的借款和申请活动.其中以信用统计和管理为主,信用使用为辅,构建出一个集信用收集和使 ...

  9. 20145237 实验一 逆向与Bof基础

    20145237 实验一 逆向与Bof基础 1.直接修改程序机器指令,改变程序执行流程 此次实验是下载老师传给我们的一个名为pwn1的文件. 首先,用 objdump -d pwn1 对pwn1进行反 ...

  10. iOS开发-OC分支结构

     BOOL类型 返回值:真:YES  假:NO BOOL数据类型占一个字节的内存空间,占位符为%d. 计算机在识别时,YES就替换成1,NO就替换成0. bool是C语言中的布尔类型,返回值为true ...