CSRF 攻击：

把 settings.py 中的 csrf 注释掉

正规网站：

创建修改密码页面 password.html：

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>修改密码</title>

</head>

<body>

<p>正规网站 - 修改密码页面</p>

<form action="/change_password/" method="post">

    <p>

        用户名：

        <input type="text" name="username">

    </p>

    <p>

        密码：

        <input type="text" name="password">

    </p>

    <input type="submit" value="提交">

</form>

</body>

</html>

urls.py 中的对应关系：

from django.conf.urls import url

from app01 import views

urlpatterns = [

    url(r'^change_password/', views.change_password),

]

views.py：

from django.shortcuts import render, HttpResponse

def change_password(request):

    if request.method == "POST":

        username = request.POST.get("username")

        password = request.POST.get("password")

        print("用户 {} 把密码修改为：{}".format(username, password))

        return HttpResponse("密码修改成功！")

    return render(request, "password.html")

访问页面：

点击 “提交”

钓鱼网站：

password.html：

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>修改密码</title>

</head>

<body>

<p>钓鱼网站 - 修改密码页面</p>

<form action="http://127.0.0.1:8000/change_password/" method="post">

    <p>

        用户名：

        <input type="text" name="username">

    </p>

    <p>

        密码：

        <input type="text" name="password">

        <input type="text" name="password" value="test1234" style="display: none">

    </p>

    <input type="submit" value="提交">

</form>

</body>

</html>

这里用隐藏的 password 把密码修改成指定的 test1234

urls.py：

from django.conf.urls import url

from app01 import views

urlpatterns = [

    url(r'^change_password/', views.change_password),

]

views.py：

from django.shortcuts import render

def change_password(request):

    return render(request, "password.html")

访问页面：

点击 “提交”

跳转到：http://127.0.0.1:8000/change_password/，并显示修改成功

密码被修改为 test1234，而不是 111111

CSRF 防护：

将 settings.py 中的注释取消

此时钓鱼页面再发送请求的话就会不受理

也可以更保险一点：

修改正规网站的 password.html：

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>修改密码</title>

</head>

<body>

<p>正规网站 - 修改密码页面</p>

<form action="/change_password/" method="post">

    {% csrf_token %}

    <p>

        用户名：

        <input type="text" name="username">

    </p>

    <p>

        密码：

        <input type="text" name="password">

    </p>

    <input type="submit" value="提交">

</form>

</body>

</html>

在 form 表单中添加了一条 {% csrf_token %}

访问该 url：

添加了隐藏的 csrf 内容校验，每次的值都会不同

Python - Django - CSRF的更多相关文章

pythonのdjango CSRF简单使用
一.简介 django为用户实现防止跨站请求伪造的功能,通过中间件 django.middleware.csrf.CsrfViewMiddleware 来完成.而对于django中设置防跨站请求伪造功 ...
python, Django csrf token的问题
环境 Window 7 Python2.7 Django1.4.1 sqlite3 问题在使用Django搭建好测试环境后,写了一个提交POST表单提交留言的测试页面. 如图: 填写表单,点击“提交 ...
vue-resource pos提交t数据时碰到Django csrf
最近在用Vue写前端代码,再用vue-resource向后台提交数据.项目后台是用python+Django开发的.下面我就复盘一下我出现问题的经过. 首先,想用vue进行数据交互只能引入vue-re ...
python Django知识点总结
python Django知识点总结一.Django创建项目: CMD 终端:Django_admin startproject sitename(文件名) 其他常用命令: 其他常用命令: 通过类创 ...
python/ Django之中间件
python/ Django之中间件一.中间件中间件共分为: (1)process_request(self,request) (2)process_view(self, request, cal ...
python Django之Ajax
python Django之Ajax AJAX,Asynchronous JavaScript and XML (异步的JavaScript和XML),一种创建交互式网页应用的网页开发技术方案. 异步 ...
[python] python django web 开发 —— 15分钟送到会用（只能送你到这了）
1.安装python环境 1.1 安装python包管理器: wget https://bootstrap.pypa.io/get-pip.py sudo python get-pip.py 1. ...
[原创]Python/Django使用富文本编辑器XHeditor上传本地图片
前言为了在Django框架下使用Xheditor上传图片,居然折腾了我一个晚上.期间也遇到种种问题,网上相关资料极少.现在把经验分享给大家. 正文 xheditor篇 1.下载http://xhed ...
pos提交提交数据时碰到Django csrf
我的github(PS:希望star):https://github.com/thWinterSun/v-admin 最近在用Vue写前端代码,再用vue-resource向后台提交数据.项目后台是用 ...

随机推荐

nachos3.4 threads管理（c++）
Main.cc //引导代码初始化操作系统内核.允许直接调用内部操作系统功能,简化调试和测试.在实践中,bootstrap代码只会初始化数据结构, //并启动一个用户程序来打印登录提示.//许多内容只 ...
Python中对列表排序实例
Python中对列表排序实例发布时间:2015-01-04 09:01:50 投稿:junjie 这篇文章主要介绍了Python中对列表排序实例,本文给出了9个List的排序实例,需要的朋友可以参考 ...
CSP 初赛知识点整理
BIOS: BIOS是英文"Basic Input Output System"的缩略词,直译过来后中文名称就是"基本输入输出系统".其实,它是一组固化到计算机 ...
web大文件分块上传断点续传demo
一.概述所谓断点续传,其实只是指下载,也就是要从文件已经下载的地方开始继续下载.在以前版本的HTTP协议是不支持断点的,HTTP/1.1开始就支持了.一般断点下载时才用到Range和Content- ...
RookeyFrame 字典新增和绑定
原文:https://www.cnblogs.com/rookey/p/10856657.html 注意: 数据字典 -> 新增把“是否生效”勾上是否生效都要勾上哦 !!! 应该自动勾上才对 ...
洛谷 P1004 方格取数题解
P1004 方格取数题目描述设有 \(N \times N\) 的方格图 \((N \le 9)\),我们将其中的某些方格中填入正整数,而其他的方格中则放入数字\(0\).如下图所示(见样例): ...
微信小程序微信登录
开发接口登录 wx.login wx.checkSession 签名加密小程序登录小程序可以通过微信官方提供的登录能力方便地获取微信提供的用户身份标识,快速建立小程序内的用户体系. 登录流程时序 ...
Ultra Edit中的数据对齐
有时会用到Ultra Edit的数据对齐功能.比如,要求64个符号一组,从低位开始对齐.这时,如果数据长度不是一行长度的整数, 就会产生高位对齐.低位不足的问题.为了调整,往往需要逐行调整,很不方便. ...
jmeter之timer --笔记一
简介:测试过程中需要用到time进行造数据测试,需要各种年月日,或者未来时间,就像python中的time和datetime 1.jmeter中timer,使用—time()函数 1.1 timeSh ...
SpringCloud：搭建微服务项目框架 microservicecloud
1.搭建整体父工程 microservicecloud 新建父工程microservicecloud,切记是Packageing是pom模式主要是定义POM文件,将后续各个子模块公用的jar包等统一 ...

Python - Django - CSRF