python CSRF跨站请求伪造

 <!DOCTYPE html>

 <html lang="en">

 <head>

     <meta charset="UTF-8">

     <title>Title</title>

 </head>

 <body>

     <form method="POST" action="/csrf1.html/">

         {% csrf_token %}

         <input type="text" name="user">

         <input type="submit" value="提交"/>

     </form>

 </body>

 </html>

csrf.html

 """day73 URL Configuration

 The `urlpatterns` list routes URLs to views. For more information please see:

     https://docs.djangoproject.com/en/1.10/topics/http/urls/

 Examples:

 Function views

     1. Add an import:  from my_app import views

     2. Add a URL to urlpatterns:  url(r'^$', views.home, name='home')

 Class-based views

     1. Add an import:  from other_app.views import Home

     2. Add a URL to urlpatterns:  url(r'^$', Home.as_view(), name='home')

 Including another URLconf

     1. Import the include() function: from django.conf.urls import url, include

     2. Add a URL to urlpatterns:  url(r'^blog/', include('blog.urls'))

 """

 from django.conf.urls import url

 from django.contrib import admin

 from app01 import views

 urlpatterns = [

     url(r'^csrf1',views.csrf1),

 ]

urls

 """

 Django settings for day73 project.

 Generated by 'django-admin startproject' using Django 1.10.6.

 For more information on this file, see

 https://docs.djangoproject.com/en/1.10/topics/settings/

 For the full list of settings and their values, see

 https://docs.djangoproject.com/en/1.10/ref/settings/

 """

 import os

 # Build paths inside the project like this: os.path.join(BASE_DIR, ...)

 BASE_DIR = os.path.dirname(os.path.dirname(os.path.abspath(__file__)))

 # Quick-start development settings - unsuitable for production

 # See https://docs.djangoproject.com/en/1.10/howto/deployment/checklist/

 # SECURITY WARNING: keep the secret key used in production secret!

 SECRET_KEY = 'ct2d2^2k(l&%n@96xsd9y#0@!^_5a^peanb69ndouz&gx6%n3o'

 # SECURITY WARNING: don't run with debug turned on in production!

 DEBUG = True

 ALLOWED_HOSTS = []

 # Application definition

 INSTALLED_APPS = [

     'django.contrib.admin',

     'django.contrib.auth',

     'django.contrib.contenttypes',

     'django.contrib.sessions',

     'django.contrib.messages',

     'django.contrib.staticfiles',

     'app01.apps.App01Config',

 ]

 # csef设置地方如下：

 MIDDLEWARE = [

     'django.middleware.security.SecurityMiddleware',

     'django.contrib.sessions.middleware.SessionMiddleware',

     'django.middleware.common.CommonMiddleware',

    #'django.middleware.csrf.CsrfViewMiddleware',

     'django.contrib.auth.middleware.AuthenticationMiddleware',

     'django.contrib.messages.middleware.MessageMiddleware',

     'django.middleware.clickjacking.XFrameOptionsMiddleware',

 ]

 ROOT_URLCONF = 'day73.urls'

 TEMPLATES = [

     {

         'BACKEND': 'django.template.backends.django.DjangoTemplates',

         'DIRS': [os.path.join(BASE_DIR,'templates')]

         ,

         'APP_DIRS': True,

         'OPTIONS': {

             'context_processors': [

                 'django.template.context_processors.debug',

                 'django.template.context_processors.request',

                 'django.contrib.auth.context_processors.auth',

                 'django.contrib.messages.context_processors.messages',

             ],

         },

     },

 ]

 WSGI_APPLICATION = 'day73.wsgi.application'

 # Database

 # https://docs.djangoproject.com/en/1.10/ref/settings/#databases

 # DATABASES = {

 #     'default': {

 #         'ENGINE': 'django.db.backends.sqlite3',

 #         'NAME': os.path.join(BASE_DIR, 'db.sqlite3'),

 #     }

 # }

 DATABASES = {

     'default': {

         'ENGINE': 'django.db.backends.mysql',

         'NAME': 'ff3',

         'USER': 'root',

         'PASSWORD': '',

         'HOST': 'localhost',

         'PORT': 3306,

     }

 }

 # Password validation

 # https://docs.djangoproject.com/en/1.10/ref/settings/#auth-password-validators

 AUTH_PASSWORD_VALIDATORS = [

     {

         'NAME': 'django.contrib.auth.password_validation.UserAttributeSimilarityValidator',

     },

     {

         'NAME': 'django.contrib.auth.password_validation.MinimumLengthValidator',

     },

     {

         'NAME': 'django.contrib.auth.password_validation.CommonPasswordValidator',

     },

     {

         'NAME': 'django.contrib.auth.password_validation.NumericPasswordValidator',

     },

 ]

 # Internationalization

 # https://docs.djangoproject.com/en/1.10/topics/i18n/

 LANGUAGE_CODE = 'en-us'

 TIME_ZONE = 'UTC'

 USE_I18N = True

 USE_L10N = True

 USE_TZ = True

 # Static files (CSS, JavaScript, Images)

 # https://docs.djangoproject.com/en/1.10/howto/static-files/

 STATIC_URL = '/static/'

 STATICFILES_DIRS =(

     os.path.join(BASE_DIR,'static'),

 )

settings设置

注：在django中，如果setting里面# 'django.middleware.csrf.CsrfViewMiddleware',被注释，则没有csrf限制，

　    否则有csrf限制。

　　如果有csrf有限制或无限制，应用时2则有以下解决方案：

<br>#******************基本应用**********************

# a.（HTML表单中form表单添加）

    # { % csrf_token %}

# def csrf1(request):

#     if request.method == 'GET':

#         return render(request,'csrf1.html')

#     else:

#         return HttpResponse('哥们干啥来了')

# ***********************************************　

#******************全站禁用***********************

# b.(settings设置里面）

# 'django.middleware.csrf.CsrfViewMiddleware',

#************************************************

　　

#******************局部禁用***********************

# c.（全站使用前提下可以使用局部禁用）

# 'django.middleware.csrf.CsrfViewMiddleware',

# from django.views.decorators.csrf import csrf_exempt

# @csrf_exempt

# def csrf1(request):

#     if request.method == 'GET':

#         return render(request, 'csrf1.html')

#     else:

#         return HttpResponse('ok')

# ************************************************

# ****************局部使用*************************

# d.（全站禁用前提下可以使用局部使用）

# 'django.middleware.csrf.CsrfViewMiddleware',

# from django.views.decorators.csrf import csrf_protect

# @csrf_protect

# def csrf1(request):

#     if request.method == 'GET':

#         return render(request, 'csrf1.html')

#     else:

#         return HttpResponse('ok')

# ************************************************

#****************CBV中添加装饰器********************

# c.特殊CBV

# from django.views import View

# from django.utils.decorators import method_decorator

# @method_decorator(csrf_protect, name='dispatch')

# class Foo(View):

#     def get(self, request):

#         pass

#

#     def post(self, request):

#         pass

# def wrapper(func):

#      def inner(*args,**kwargs):

#          return func(*args,**kwargs)

#      return inner

 # 1. 指定方法上添加装饰器

    # class Foo(View):

    #     @method_decorator(wrapper)

    #     def get(self,request):

    #         pass

    #     def post(self,request):

    #         pass

# 2. 在类上添加

    #     @method_decorator(wrapper,name='dispatch')     #全部类添加

    #     @method_decorator(wrapper, name='get')         # 只给get添加

    #     @method_decorator(wrapper, name='post')        # 只给post添加

    #     class Foo(View):

    #         def dispatch(self,request,*args,**kwargs)

    #               pass

    #         def get(self,request):

    #             pass

    #         def post(self,request):

    #             pass

#************************************************

二.Django之CSRF（Ajax）请求

def csrf1(request):

     if request.method == 'GET':

         return render(request,'csrf1.html')

     else:

         return HttpResponse('哥们干啥来了')

views.py<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>Title</title>

</head>

<body>

    <form method="POST" action="/csrf1.html/">

        {% csrf_token %}

        <input type="text" name="user">

        <input type="submit" value="提交"/>

        <a onclick="submitForm();">Ajax提交</a>

    </form>

<script src="/static/jquery-3.2.1.js"></script>

<script src="/static/jquery.cookie.js"></script>

<script>

第一种方式：

    function submitForm() {

        var csrf = $('input[name="csrfmiddlewaretoken"]').val();

        var user = $('#user').val();

        $.ajax({

            url:'/csrf1.html',

            type:'POST',

            data:{"user":user,'csrfmiddlewaretoken':csrf},

            success:function (arg) {

                console.log(arg);

            }

        })

    }

第二种方式：

{#    获取Console值：在浏览器Console上输入document.cookie#}

    function submitForm() {

        var token = $.cookie('csrftoken');

        var csrf = $('input[name="csrfmiddlewaretoken"]').val();

        var user = $('#user').val();

        $.ajax({

            url:'/csrf1.html',

            type:'POST',

            headers:{'X-CSRFToken':token},

            data:{"user":user},

            success:function (arg) {

                console.log(arg);

            }

        })

    }

</script>

</body>

</html>

python CSRF跨站请求伪造的更多相关文章

  1. python 全栈开发，Day87(ajax登录示例,CSRF跨站请求伪造,Django的中间件,自定义分页)

    一.ajax登录示例 新建项目login_ajax 修改urls.py,增加路径 from app01 import views urlpatterns = [ path('admin/', admi ...

  2. 什么是CSRF跨站请求伪造？(from表单效验csrf-ajdax效验csrf-Ajax设置csrf-CBV装饰器验证csrf)

    目录 一:csrf跨站请求伪造 1.什么是CSRF? 2.CSRF攻击案例(钓鱼网站) 3.钓鱼网站 内部原理 4.CSRF原理(钓鱼网站内部本质) 5.从上图可以看出,要完成一次CSRF攻击,受害者 ...

  3. Django之CSRF跨站请求伪造（老掉牙的钓鱼网站模拟）

    首先这是一个测试的代码 请先在setting页面进行下面操作 注释完成后,开始模拟钓鱼网站的跨站请求伪造操作: 前端代码: <!DOCTYPE html> <html lang=&q ...

  4. ajax向Django前后端提交请求和CSRF跨站请求伪造

    1.ajax登录示例 urls.py from django.conf.urls import url from django.contrib import admin from app01 impo ...

  5. 第三百一十五节，Django框架，CSRF跨站请求伪造

    第三百一十五节,Django框架,CSRF跨站请求伪造  全局CSRF 如果要启用防止CSRF跨站请求伪造,就需要在中间件开启CSRF #中间件 MIDDLEWARE = [ 'django.midd ...

  6. Django中的CSRF(跨站请求伪造)

    Django中的CSRF(跨站请求伪造) Django CSRF  什么是CSFR 即跨站请求伪装,就是通常所说的钓鱼网站. 钓鱼网站的页面和正经网站的页面对浏览器来说有什么区别? (页面是怎么来的? ...

  7. Django框架 之 基于Ajax中csrf跨站请求伪造

    Django框架 之 基于Ajax中csrf跨站请求伪造 ajax中csrf跨站请求伪造 方式一 1 2 3 $.ajaxSetup({     data: {csrfmiddlewaretoken: ...

  8. 十三 Django框架，CSRF跨站请求伪造

     全局CSRF 如果要启用防止CSRF跨站请求伪造,就需要在中间件开启CSRF #中间件 MIDDLEWARE = [ 'django.middleware.security.SecurityMidd ...

  9. Web框架之Django_09 重要组件（Django中间件、csrf跨站请求伪造）

    摘要 Django中间件 csrf跨站请求伪造 一.Django中间件: 什么是中间件? 官方的说法:中间件是一个用来处理Django的请求和响应的框架级别的钩子.它是一个轻量.低级别的插件系统,用于 ...

随机推荐

  1. Cloudera Manager及CDH最新版本安装全程记录

    大家都知道,Apache Hadoop的配置很繁琐,而且很零散,为此Cloudera公司提供了Clouder Manager工具,而且还封装了Apache Hadoop,flume,spark,hiv ...

  2. c++趣味之为变参模板的每个参数执行单独函数

    对于c++11以后出现的可变参数模板,一般我们都统一处理所有的参数.而当需要为每个参数执行不同的操作或调用不同的函数时,语法上是没有直接支持的. 可变参数的模板语法: template<type ...

  3. 初识mango DB

    换工作了,第一次接触到mango数据库,有点云里雾里,整理一篇最基本的增删该查语句 百度百科说mango DB是一个基于分布式文件存储的数据库.由C++语言编写.旨在为WEB应用提供可扩展的高性能数据 ...

  4. Android Studio设置字体和主题

    步骤:File >> settings >> Appearance & Behavior >> Appearance           >> ...

  5. 小白学PYTHON时最容易犯的6个错误，看看你遇到过几个

    最近又在跟之前的同学一起学习python,一起进步,发现很多测试同学在初学python的时候很容易犯一些错误,特意总结了一下.其实这些错误不仅是在学python时会碰到,在学习其他语言的时候也同样会碰 ...

  6. 【Django】 rest-framework和RestfulAPI的设计

    [rest-framework] 这是一个基于django才能发挥作用的组件,专门用于构造API的. 说到API,之前在其他项目中我也做过一些小API,不过那些都是玩票性质,结构十分简单而且要求的设计 ...

  7. STL --> set用法

    set用法 一.set和multiset基础 set和multiset会根据特定的排序准则,自动将元素进行排序.不同的是后者允许元素重复而前者不允许. 需要包含头文件: #include <se ...

  8. 实现Windows程序的数据的绑定

    1.创建DataSet对象 语法: DataSet  数据集对象  =new  DataSet("数据集的名称字符串"); 语法中的参数是数据集的名称字符串,可以有,也可以没有.如 ...

  9. iOS 代码开发规范

    最近公司因为业务增多,又招了一个iOS小伙伴,内心无比开心呀.但是多了一个人,日常代码开发就要统一规范起来,方便日后维护和查找.下边列一下我日常用到一些代码规范. (一).SVN规范 1.代码一定要先 ...

  10. 安装LR11 时，安装Microsoft Visual c++2005 sp1运行时组件，就会提示命令行选项语法错误，键入“命令/?”可获取帮肋信息

    1.进入loadrunner-11\Additional Components\IDE Add-Ins\MS Visual Studio .NET 2.安装:LRVS2005IDEAddInSetup ...