CSRF 攻击：

把 settings.py 中的 csrf 注释掉

正规网站：

创建修改密码页面 password.html：

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>修改密码</title>

</head>

<body>

<p>正规网站 - 修改密码页面</p>

<form action="/change_password/" method="post">

    <p>

        用户名：

        <input type="text" name="username">

    </p>

    <p>

        密码：

        <input type="text" name="password">

    </p>

    <input type="submit" value="提交">

</form>

</body>

</html>

urls.py 中的对应关系：

from django.conf.urls import url

from app01 import views

urlpatterns = [

    url(r'^change_password/', views.change_password),

]

views.py：

from django.shortcuts import render, HttpResponse

def change_password(request):

    if request.method == "POST":

        username = request.POST.get("username")

        password = request.POST.get("password")

        print("用户 {} 把密码修改为：{}".format(username, password))

        return HttpResponse("密码修改成功！")

    return render(request, "password.html")

访问页面：

点击 “提交”

钓鱼网站：

password.html：

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>修改密码</title>

</head>

<body>

<p>钓鱼网站 - 修改密码页面</p>

<form action="http://127.0.0.1:8000/change_password/" method="post">

    <p>

        用户名：

        <input type="text" name="username">

    </p>

    <p>

        密码：

        <input type="text" name="password">

        <input type="text" name="password" value="test1234" style="display: none">

    </p>

    <input type="submit" value="提交">

</form>

</body>

</html>

这里用隐藏的 password 把密码修改成指定的 test1234

urls.py：

from django.conf.urls import url

from app01 import views

urlpatterns = [

    url(r'^change_password/', views.change_password),

]

views.py：

from django.shortcuts import render

def change_password(request):

    return render(request, "password.html")

访问页面：

点击 “提交”

跳转到：http://127.0.0.1:8000/change_password/，并显示修改成功

密码被修改为 test1234，而不是 111111

CSRF 防护：

将 settings.py 中的注释取消

此时钓鱼页面再发送请求的话就会不受理

也可以更保险一点：

修改正规网站的 password.html：

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>修改密码</title>

</head>

<body>

<p>正规网站 - 修改密码页面</p>

<form action="/change_password/" method="post">

    {% csrf_token %}

    <p>

        用户名：

        <input type="text" name="username">

    </p>

    <p>

        密码：

        <input type="text" name="password">

    </p>

    <input type="submit" value="提交">

</form>

</body>

</html>

在 form 表单中添加了一条 {% csrf_token %}

访问该 url：

添加了隐藏的 csrf 内容校验，每次的值都会不同

Python - Django - CSRF的更多相关文章

  1. pythonのdjango CSRF简单使用

    一.简介 django为用户实现防止跨站请求伪造的功能,通过中间件 django.middleware.csrf.CsrfViewMiddleware 来完成.而对于django中设置防跨站请求伪造功 ...

  2. python, Django csrf token的问题

    环境 Window 7 Python2.7 Django1.4.1 sqlite3 问题 在使用Django搭建好测试环境后,写了一个提交POST表单提交留言的测试页面. 如图: 填写表单,点击“提交 ...

  3. vue-resource pos提交t数据时碰到Django csrf

    最近在用Vue写前端代码,再用vue-resource向后台提交数据.项目后台是用python+Django开发的.下面我就复盘一下我出现问题的经过. 首先,想用vue进行数据交互只能引入vue-re ...

  4. python Django知识点总结

    python Django知识点总结 一.Django创建项目: CMD 终端:Django_admin startproject sitename(文件名) 其他常用命令: 其他常用命令: 通过类创 ...

  5. python/ Django之中间件

    python/ Django之中间件 一.中间件 中间件共分为: (1)process_request(self,request) (2)process_view(self, request, cal ...

  6. python Django之Ajax

    python Django之Ajax AJAX,Asynchronous JavaScript and XML (异步的JavaScript和XML),一种创建交互式网页应用的网页开发技术方案. 异步 ...

  7. [python] python django web 开发 —— 15分钟送到会用（只能送你到这了）

    1.安装python环境 1.1 安装python包管理器: wget https://bootstrap.pypa.io/get-pip.py sudo python get-pip.py   1. ...

  8. [原创]Python/Django使用富文本编辑器XHeditor上传本地图片

    前言 为了在Django框架下使用Xheditor上传图片,居然折腾了我一个晚上.期间也遇到种种问题,网上相关资料极少.现在把经验分享给大家. 正文 xheditor篇 1.下载http://xhed ...

  9. pos提交提交数据时碰到Django csrf

    我的github(PS:希望star):https://github.com/thWinterSun/v-admin 最近在用Vue写前端代码,再用vue-resource向后台提交数据.项目后台是用 ...

随机推荐

  1. LA 3704细胞自动机——循环矩阵&&矩阵快速幂

    题目 一个细胞自动机包含 $n$ 个格子,每个格子的取值为 $0 \sim m-1$.给定距离 $d$,则每次操作是将每个格子的值变为到它的距离不超过 $d$ 的所有格子的在操作之前的值的和除以 $m ...

  2. 任晓蕊 2019-2020-1 20199302《Linux内核原理与分析》第四周作业

    实验内容 在实验楼的环境中敲入命令 cd LinuxKernel/ qemu -kernel linux-3.18.6/arch/x86/boot/bzImage -initrd rootfs.img ...

  3. JS AJAX和JSONP的基础功能封装以及使用示例；

    1.代码: function ajax(options){ options = options || {}; options.type = options.type || "get" ...

  4. PHP流程控制之分支结构switch语句的使用

    分支结构switch语句的使用 还记得我们最开始讲了这么一个故事: 王同学家里头特别有钱,所以他的行程方式和正常人的又有些不一样. 他的出行方式呢有6种,如下: 1,司机开车2,民航3,自己家的专机4 ...

  5. 2019 icpc 徐州 解题报告

    A.Cat 题库链接 给定区间[l,r],求一个最长子区间,使得区间异或和小于等于s,(结论)偶数和偶数后三个数的异或和等于0 #include <bits/stdc++.h> using ...

  6. 使用状态文件+vigil 监控系统状态

    vigil 是一个不错的系统可用性报告系统,具有还不错的ui 界面,同时也有通知配置,以下是一个简单的 demo 使用状态文件,以及http body 匹配的模式进行web 应用状态的监控,只是简单的 ...

  7. P2709 小B的询问 （莫队板子）

    题目描述 小B有一个序列,包含N个1~K之间的整数.他一共有M个询问,每个询问给定一个区间[L..R],求Sigma(c(i)^2)的值,其中i的值从1到K,其中c(i)表示数字i在[L..R]中的重 ...

  8. Java 基础：Map的一家

    0.Java中的集合框架 1.Map--接口 public interface Map<K,V> 包:java.util.Map Map提供了一种映射关系,其中的元素是以键值对(key-v ...

  9. VMware虚拟机找不到USB设备该怎么办?

    VMware虚拟机找不到USB设备该怎么办?打开虚拟机发现竟然找不到usb设备,键盘和鼠标都是usb的,这该怎么办呢?出现这个问题是因为VMUSBArbService服务没有开启,下面分享开启的方法 ...

  10. SpaceClaim脚本功能（Beta功能）

    本操作仅适用ANSYS SpaceClaim 2016 打开SpaceClaim脚本编辑器的方法有两种 方法一(看截图操作):         方法二(请见后面的实例操作). 创建球体源代码: #定义 ...