python CSRF跨站请求伪造

 <!DOCTYPE html>

 <html lang="en">

 <head>

     <meta charset="UTF-8">

     <title>Title</title>

 </head>

 <body>

     <form method="POST" action="/csrf1.html/">

         {% csrf_token %}

         <input type="text" name="user">

         <input type="submit" value="提交"/>

     </form>

 </body>

 </html>

csrf.html

 """day73 URL Configuration

 The `urlpatterns` list routes URLs to views. For more information please see:

     https://docs.djangoproject.com/en/1.10/topics/http/urls/

 Examples:

 Function views

     1. Add an import:  from my_app import views

     2. Add a URL to urlpatterns:  url(r'^$', views.home, name='home')

 Class-based views

     1. Add an import:  from other_app.views import Home

     2. Add a URL to urlpatterns:  url(r'^$', Home.as_view(), name='home')

 Including another URLconf

     1. Import the include() function: from django.conf.urls import url, include

     2. Add a URL to urlpatterns:  url(r'^blog/', include('blog.urls'))

 """

 from django.conf.urls import url

 from django.contrib import admin

 from app01 import views

 urlpatterns = [

     url(r'^csrf1',views.csrf1),

 ]

urls

 """

 Django settings for day73 project.

 Generated by 'django-admin startproject' using Django 1.10.6.

 For more information on this file, see

 https://docs.djangoproject.com/en/1.10/topics/settings/

 For the full list of settings and their values, see

 https://docs.djangoproject.com/en/1.10/ref/settings/

 """

 import os

 # Build paths inside the project like this: os.path.join(BASE_DIR, ...)

 BASE_DIR = os.path.dirname(os.path.dirname(os.path.abspath(__file__)))

 # Quick-start development settings - unsuitable for production

 # See https://docs.djangoproject.com/en/1.10/howto/deployment/checklist/

 # SECURITY WARNING: keep the secret key used in production secret!

 SECRET_KEY = 'ct2d2^2k(l&%n@96xsd9y#0@!^_5a^peanb69ndouz&gx6%n3o'

 # SECURITY WARNING: don't run with debug turned on in production!

 DEBUG = True

 ALLOWED_HOSTS = []

 # Application definition

 INSTALLED_APPS = [

     'django.contrib.admin',

     'django.contrib.auth',

     'django.contrib.contenttypes',

     'django.contrib.sessions',

     'django.contrib.messages',

     'django.contrib.staticfiles',

     'app01.apps.App01Config',

 ]

 # csef设置地方如下：

 MIDDLEWARE = [

     'django.middleware.security.SecurityMiddleware',

     'django.contrib.sessions.middleware.SessionMiddleware',

     'django.middleware.common.CommonMiddleware',

    #'django.middleware.csrf.CsrfViewMiddleware',

     'django.contrib.auth.middleware.AuthenticationMiddleware',

     'django.contrib.messages.middleware.MessageMiddleware',

     'django.middleware.clickjacking.XFrameOptionsMiddleware',

 ]

 ROOT_URLCONF = 'day73.urls'

 TEMPLATES = [

     {

         'BACKEND': 'django.template.backends.django.DjangoTemplates',

         'DIRS': [os.path.join(BASE_DIR,'templates')]

         ,

         'APP_DIRS': True,

         'OPTIONS': {

             'context_processors': [

                 'django.template.context_processors.debug',

                 'django.template.context_processors.request',

                 'django.contrib.auth.context_processors.auth',

                 'django.contrib.messages.context_processors.messages',

             ],

         },

     },

 ]

 WSGI_APPLICATION = 'day73.wsgi.application'

 # Database

 # https://docs.djangoproject.com/en/1.10/ref/settings/#databases

 # DATABASES = {

 #     'default': {

 #         'ENGINE': 'django.db.backends.sqlite3',

 #         'NAME': os.path.join(BASE_DIR, 'db.sqlite3'),

 #     }

 # }

 DATABASES = {

     'default': {

         'ENGINE': 'django.db.backends.mysql',

         'NAME': 'ff3',

         'USER': 'root',

         'PASSWORD': '',

         'HOST': 'localhost',

         'PORT': 3306,

     }

 }

 # Password validation

 # https://docs.djangoproject.com/en/1.10/ref/settings/#auth-password-validators

 AUTH_PASSWORD_VALIDATORS = [

     {

         'NAME': 'django.contrib.auth.password_validation.UserAttributeSimilarityValidator',

     },

     {

         'NAME': 'django.contrib.auth.password_validation.MinimumLengthValidator',

     },

     {

         'NAME': 'django.contrib.auth.password_validation.CommonPasswordValidator',

     },

     {

         'NAME': 'django.contrib.auth.password_validation.NumericPasswordValidator',

     },

 ]

 # Internationalization

 # https://docs.djangoproject.com/en/1.10/topics/i18n/

 LANGUAGE_CODE = 'en-us'

 TIME_ZONE = 'UTC'

 USE_I18N = True

 USE_L10N = True

 USE_TZ = True

 # Static files (CSS, JavaScript, Images)

 # https://docs.djangoproject.com/en/1.10/howto/static-files/

 STATIC_URL = '/static/'

 STATICFILES_DIRS =(

     os.path.join(BASE_DIR,'static'),

 )

settings设置

注：在django中，如果setting里面# 'django.middleware.csrf.CsrfViewMiddleware',被注释，则没有csrf限制，

　    否则有csrf限制。

　　如果有csrf有限制或无限制，应用时2则有以下解决方案：

<br>#******************基本应用**********************

# a.（HTML表单中form表单添加）

    # { % csrf_token %}

# def csrf1(request):

#     if request.method == 'GET':

#         return render(request,'csrf1.html')

#     else:

#         return HttpResponse('哥们干啥来了')

# ***********************************************　

#******************全站禁用***********************

# b.(settings设置里面）

# 'django.middleware.csrf.CsrfViewMiddleware',

#************************************************

　　

#******************局部禁用***********************

# c.（全站使用前提下可以使用局部禁用）

# 'django.middleware.csrf.CsrfViewMiddleware',

# from django.views.decorators.csrf import csrf_exempt

# @csrf_exempt

# def csrf1(request):

#     if request.method == 'GET':

#         return render(request, 'csrf1.html')

#     else:

#         return HttpResponse('ok')

# ************************************************

# ****************局部使用*************************

# d.（全站禁用前提下可以使用局部使用）

# 'django.middleware.csrf.CsrfViewMiddleware',

# from django.views.decorators.csrf import csrf_protect

# @csrf_protect

# def csrf1(request):

#     if request.method == 'GET':

#         return render(request, 'csrf1.html')

#     else:

#         return HttpResponse('ok')

# ************************************************

#****************CBV中添加装饰器********************

# c.特殊CBV

# from django.views import View

# from django.utils.decorators import method_decorator

# @method_decorator(csrf_protect, name='dispatch')

# class Foo(View):

#     def get(self, request):

#         pass

#

#     def post(self, request):

#         pass

# def wrapper(func):

#      def inner(*args,**kwargs):

#          return func(*args,**kwargs)

#      return inner

 # 1. 指定方法上添加装饰器

    # class Foo(View):

    #     @method_decorator(wrapper)

    #     def get(self,request):

    #         pass

    #     def post(self,request):

    #         pass

# 2. 在类上添加

    #     @method_decorator(wrapper,name='dispatch')     #全部类添加

    #     @method_decorator(wrapper, name='get')         # 只给get添加

    #     @method_decorator(wrapper, name='post')        # 只给post添加

    #     class Foo(View):

    #         def dispatch(self,request,*args,**kwargs)

    #               pass

    #         def get(self,request):

    #             pass

    #         def post(self,request):

    #             pass

#************************************************

二.Django之CSRF（Ajax）请求

def csrf1(request):

     if request.method == 'GET':

         return render(request,'csrf1.html')

     else:

         return HttpResponse('哥们干啥来了')

views.py<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>Title</title>

</head>

<body>

    <form method="POST" action="/csrf1.html/">

        {% csrf_token %}

        <input type="text" name="user">

        <input type="submit" value="提交"/>

        <a onclick="submitForm();">Ajax提交</a>

    </form>

<script src="/static/jquery-3.2.1.js"></script>

<script src="/static/jquery.cookie.js"></script>

<script>

第一种方式：

    function submitForm() {

        var csrf = $('input[name="csrfmiddlewaretoken"]').val();

        var user = $('#user').val();

        $.ajax({

            url:'/csrf1.html',

            type:'POST',

            data:{"user":user,'csrfmiddlewaretoken':csrf},

            success:function (arg) {

                console.log(arg);

            }

        })

    }

第二种方式：

{#    获取Console值：在浏览器Console上输入document.cookie#}

    function submitForm() {

        var token = $.cookie('csrftoken');

        var csrf = $('input[name="csrfmiddlewaretoken"]').val();

        var user = $('#user').val();

        $.ajax({

            url:'/csrf1.html',

            type:'POST',

            headers:{'X-CSRFToken':token},

            data:{"user":user},

            success:function (arg) {

                console.log(arg);

            }

        })

    }

</script>

</body>

</html>

python CSRF跨站请求伪造的更多相关文章

  1. python 全栈开发，Day87(ajax登录示例,CSRF跨站请求伪造,Django的中间件,自定义分页)

    一.ajax登录示例 新建项目login_ajax 修改urls.py,增加路径 from app01 import views urlpatterns = [ path('admin/', admi ...

  2. 什么是CSRF跨站请求伪造？(from表单效验csrf-ajdax效验csrf-Ajax设置csrf-CBV装饰器验证csrf)

    目录 一:csrf跨站请求伪造 1.什么是CSRF? 2.CSRF攻击案例(钓鱼网站) 3.钓鱼网站 内部原理 4.CSRF原理(钓鱼网站内部本质) 5.从上图可以看出,要完成一次CSRF攻击,受害者 ...

  3. Django之CSRF跨站请求伪造（老掉牙的钓鱼网站模拟）

    首先这是一个测试的代码 请先在setting页面进行下面操作 注释完成后,开始模拟钓鱼网站的跨站请求伪造操作: 前端代码: <!DOCTYPE html> <html lang=&q ...

  4. ajax向Django前后端提交请求和CSRF跨站请求伪造

    1.ajax登录示例 urls.py from django.conf.urls import url from django.contrib import admin from app01 impo ...

  5. 第三百一十五节，Django框架，CSRF跨站请求伪造

    第三百一十五节,Django框架,CSRF跨站请求伪造  全局CSRF 如果要启用防止CSRF跨站请求伪造,就需要在中间件开启CSRF #中间件 MIDDLEWARE = [ 'django.midd ...

  6. Django中的CSRF(跨站请求伪造)

    Django中的CSRF(跨站请求伪造) Django CSRF  什么是CSFR 即跨站请求伪装,就是通常所说的钓鱼网站. 钓鱼网站的页面和正经网站的页面对浏览器来说有什么区别? (页面是怎么来的? ...

  7. Django框架 之 基于Ajax中csrf跨站请求伪造

    Django框架 之 基于Ajax中csrf跨站请求伪造 ajax中csrf跨站请求伪造 方式一 1 2 3 $.ajaxSetup({     data: {csrfmiddlewaretoken: ...

  8. 十三 Django框架，CSRF跨站请求伪造

     全局CSRF 如果要启用防止CSRF跨站请求伪造,就需要在中间件开启CSRF #中间件 MIDDLEWARE = [ 'django.middleware.security.SecurityMidd ...

  9. Web框架之Django_09 重要组件（Django中间件、csrf跨站请求伪造）

    摘要 Django中间件 csrf跨站请求伪造 一.Django中间件: 什么是中间件? 官方的说法:中间件是一个用来处理Django的请求和响应的框架级别的钩子.它是一个轻量.低级别的插件系统,用于 ...

随机推荐

  1. Android Studio报错:the selected directory is not a valid home for unknow sdk

    今天在使用Android Studio的时候不知道怎么了,没有import module,视图里面也没有android视图,查看project设置.提示我的SDK路径无效:the selected d ...

  2. Swift 笔记汇总

    Swift 3 笔记 Swift: The Basics :介绍 Swift 一些零碎的点. Swift: Basic Operators :介绍 Swift 的操作符. Functions : 介绍 ...

  3. Java内存区域之程序计数器--《深入理解Java虚拟机》学习笔记及个人理解(一)

    Java虚拟机程序计数器 在书上的P39页 程序计数器干嘛的? 有了它,字节码解释器才可以知道下一条要执行的字节码指令是哪个. 无论是取下一条指令还是分支.循环.跳转.中断.线程恢复,都需要这个程序计 ...

  4. Linux chgrp命令

    在lunix系统里,文件或目录的权限的掌控以拥有者及所诉群组来管理.可以使用chgrp指令取变更文件与目录所属群组,这种方式采用群组名称或群组识别码都可以.Chgrp命令就是change group的 ...

  5. html-简单的简历表制作

    代码如下: <!DOCTYOE html> <html> <head> <meta charset='UTF-8'/> <title>课后作 ...

  6. Python中列表、元组、字典增删改查基本区别

    1.定义: 列表:num = ["a","b"."c"] ##定义后可增删改查 元组:num = ("a"," ...

  7. Redis这些知识点，是必须知道的！

    Redis是一个开源(BSD许可)的内存数据结构存储,可作为数据库,缓存和消息队列.相比Memcached它支持更多的数据结构,如string(字符串),hash(哈希),list(链表),set(集 ...

  8. C++顺序容器知识总结

    容器是一种容纳特定类型对象的集合.C++的容器可以分为两类:顺序容器和关联容器.顺序容器的元素排列和元素值大小无关,而是由元素添加到容器中的次序决定的.标准库定义了三种顺序容器的类型:vector.l ...

  9. HTTP缓存带来的“bug”--HTTP 协议 Cache-Control

    问题描述 先说背景.网站是用PHP开发的,未用任何框架,代码结构也非常简单.运行于阿里云服务器,并采用其CDN来做分发.根据业务需求,有的页面会判断用户浏览器类型,依此来选择PC或者手机端内容. 在一 ...

  10. [日常] Codeforces Round #440 Div.2 大力翻车实况

    上次打了一发ABC然后大力翻车...上午考试又停电+Unrated令人非常滑稽...下午终于到了CF比赛... 赛前大力安利了一发然后拉了老白/ $ljm$ / $wcx$ 一起打, 然后搞了个 TI ...