XSS

跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的特殊目的。

tornado中已经为我们给屏蔽了XSS，但是当我们后端向前端写前端代码的时候传入浏览器是字符串，而不是形成代码格式。所以就需要一个反解，在传入模板语言中前面加一个raw，例如{% raw name %}

class IndexHandler(tornado.web.RequestHandler):

    def get(self, *args, **kwargs):

        jump = '''<input type="text"><a onclick = "Jump('%s',this);">GO</a>'''%('/index/')

        script = '''

            <script>

                function Jump(baseUrl,ths){

                    var val = ths.previousElementSibling.value;

                    if (val.trim().length > 0){

                        location.href = baseUrl + val;

                    }

                }

            </script>

        '''

        self.render('index.html',jump=jump,script=script)  #传入两个前端代码的字符串

start.py

 <!DOCTYPE html>

 <html lang="en">

 <head>

     <meta charset="UTF-8">

     <title>Title</title>

     <style>

         .pager a{

             display: inline-block;

             padding: 5px;

             margin: 3px;

             background-color: #00a2ca;

         }

         .pager a.active{

             background-color: #0f0f0f;

             color: white;

         }

     </style>

 </head>

 <body>

     <div class="pager">

         {% raw jump %}

         {% raw script%}

     </div>

 </body>

 </html>

index.html

CSRF

CSRF（Cross-site  request forgery跨站请求伪造，也被称为“one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。
当前防范 XSRF 的一种通用的方法，是对每一个用户都记录一个无法预知的 cookie 数据，然后要求所有提交的请求中都必须带有这个 cookie 数据。如果此数据不匹配 ，那么这个请求就可能是被伪造的。

Tornado 有内建的 XSRF 的防范机制，要使用此机制，你需要在应用配置中加上 xsrf_cookies 设定：xsrf_cookies=True

简单来说就是在form验证里面生成了一段类似于自己的身份证号一样，携带着他来访问网页

 #!/usr/bin/env python

 # -*- coding:utf-8 -*-

 import tornado.web

 import tornado.ioloop

 class CsrfHandler(tornado.web.RequestHandler):

     def get(self, *args, **kwargs):

         self.render('csrf.html')

     def post(self, *args, **kwargs):

         self.write('已经收到客户端发的请求伪造')

 settings = {

     'template_path':'views',

     'static_path':'statics',

     'xsrf_cokkies':True,        # 重点在这里，往这里看

 }

 application = tornado.web.Application([

     (r'/csrf',CsrfHandler)

 ],**settings)

 if __name__ == "__main__":

     application.listen(8888)

     tornado.ioloop.IOLoop.instance().start()

start.py

 <!DOCTYPE html>

 <html lang="en">

 <head>

     <meta charset="UTF-8">

     <title>Title</title>

 </head>

 <body>

     <form action="/csrf" method="post">

         {% raw xsrf_form_html() %}

         <p><input name="user" type="text" placeholder="用户"/></p>

         <p><input name='pwd' type="text" placeholder="密码"/></p>

         <input type="submit" value="Submit" />

         <input type="button" value="Ajax CSRF" onclick="SubmitCsrf();" />

     </form>

     <script src="/statics/jquery-1.12.4.js"></script>

     <script type="text/javascript">

         function ChangeCode() {

             var code = document.getElementById('imgCode');

             code.src += '?';

         }

         function getCookie(name) {

             var r = document.cookie.match("\\b" + name + "=([^;]*)\\b");

             return r ? r[1] : undefined;

         }

         function SubmitCsrf() {

             var nid = getCookie('_xsrf');

             $.post({

                 url: '/csrf',

                 data: {'k1': 'v1',"_xsrf": nid},

                 success: function (callback) {

                     // Ajax请求发送成功有，自动执行

                     // callback，服务器write的数据 callback=“csrf.post”

                     console.log(callback);

                 }

             });

         }

     </script>

 </body>

 </html>

index.html

web框架--XSS攻击和CSRF请求伪造的更多相关文章

  1. 网络XSS攻击和CSRF攻击原理及防范

    网络XSS攻击和CSRF攻击原理及防范 原文地址:http://www.freebuf.com/articles/web/39234.html 随着Web2.0.社交网络.微博等等一系列新型的互联网产 ...

  2. SQL 注入、XSS 攻击、CSRF 攻击

    SQL 注入.XSS 攻击.CSRF 攻击 SQL 注入 什么是 SQL 注入 SQL 注入,顾名思义就是通过注入 SQL 命令来进行攻击,更确切地说攻击者把 SQL 命令插入到 web 表单或请求参 ...

  3. web安全-xss攻击

    web安全问题 xss攻击 1.html标签 html内容的转义 escapeHtml str = str.replace(/&/g,'&amp'); str = str.replac ...

  4. web客户端安全之跨站点请求伪造攻击

    CSRF攻击,Cross-site request forgery,跨站点请求伪造,也被称为“One Click Attack”或者Session Riding,通常缩写为CSRF或者XSRF,是一种 ...

  5. web安全（xss攻击和csrf攻击）

    1.CSRF攻击: CSRF(Cross-site request forgery):跨站请求伪造. (1).攻击原理: 如上图,在B网站引诱用户访问A网站(用户之前登录过A网站,浏览器 cookie ...

  6. yii框架各种防止sql注入，xss攻击，csrf攻击

    PHP中常用到的方法有: /*  防sql注入,xss攻击  (1)*/    function actionClean($str)    {        $str=trim($str);      ...

  7. sql注入，xss攻击，csrf(模拟请求)，防盗链

    如何防止别人模拟请求? 使用令牌token解决模拟请求  好处是 唯一性只能有一次请求 已经拿到生成的token  如何防止呢?  怎样防止非人工? 使用验证码 xss攻击? xss攻击也叫脚本注入 ...

  8. XSS攻击和CSRF攻击

    一.什么是XSS攻击 XSS(Cross Site Scripting),即跨站脚本攻击,是一种常见于web应用程序中的计算机安全漏洞.XSS通过在用户端注入恶意的可运行脚本,若服务器端对用户输入不进 ...

  9. xss攻击和csrf攻击的定义及区别

    1.CSRF的基本概念.缩写.全称 CSRF(Cross-site request forgery):跨站请求伪造. PS:中文名一定要记住.英文全称,如果记不住也拉倒. 2.CSRF的攻击原理 用户 ...

随机推荐

  1. 【ECNU3510】燃烧吧，室友！（模拟）

    点此看题面 大致题意: 给你一个只含\(C,H,O\)的化学式,问需要几\(mol\)的氧气才能使其完全燃烧成\(CO_2\)和\(H_2O\). 模拟+化学 首先,我们模拟求出化学式中\(C,H,O ...

  2. OpenDaylight开发hello-world项目之开发环境搭建

    OpenDaylight开发hello-world项目之开发环境搭建 OpenDaylight开发hello-world项目之开发工具安装 OpenDaylight开发hello-world项目之代码 ...

  3. ES6-Symbol.iterator 迭代器

    一个数据结构只要部署了Symbol.iterator属性就能使用 for...of遍历 与 ...运算符 操作 Object身上没有Symbol.iterator,当直接使用时会报错 let obj ...

  4. 十二、深入理解Java内存模型

    深入理解Java内存模型 [1]CPU和缓存的一致性 ​ 我们应该都知道,计算机在执行程序的时候,每条指令都是在CPU中执行的,而执行的时候,又免不了要和数据打交道.而计算机上面的数据,是存放在主存当 ...

  5. laravel模型中非静态方法也能静态调用的原理

    刚开始用laravel模型时,为了方便一直写静态方法,进行数据库操作. <?php namespace App\Models; use Illuminate\Database\Eloquent\ ...

  6. 关于 Scrapy 中自定义 Spider 传递参数问题

    实际应用中,我们有可能在启动 Scrapy 的时候自定义一些参数来控制不同的业务流程,Google 尝试了如下方式可以实现 . 修改 Spider 构造函数  class myspider(Spide ...

  7. ML.NET调用Tensorflow模型示例——MNIST

    ML.NET在不久前发行了1.0版本,在考虑这一新轮子的实际用途时,最先想到的是其能否调用已有的模型,特别是最被广泛使用的Tensorflow模型.于是在查找了不少资料后,有了本篇示例.希望可以有抛砖 ...

  8. java架构之路-（mysql底层原理）Mysql索引和查询引擎

    今天我们来说一下我们的mysql,个人认为现在的mysql能做到很好的优化处理,不比收费的oracle差,而且mysql确实好用. 当我们查询慢的时候,我会做一系列的优化处理,例如分库分表,加索引.那 ...

  9. 配置 ASP.NET Core 请求(Request)处理管道

    配置 ASP.NET Core 请求(Request)处理管道 在本节中,我们将讨论使用中间件组件为 asp.net core 应用程序配置请求处理管道. 作为应用程序启动的一部分,我们要在Confi ...

  10. 解决FastCGI 进程超过了配置的活动超时时限的问题

    近日,需要满足测试需求,进行大数据并发测试时,报出[HTTP 错误 500.0 - Internal Server Error E:\PHP\php-cgi.exe - FastCGI 进程超过了配置 ...