跨站请求伪造

一、简介

django为用户实现防止跨站请求伪造的功能，通过中间件 django.middleware.csrf.CsrfViewMiddleware 来完成。而对于django中设置防跨站请求伪造功能有分为全局和局部。

全局：

　　中间件 django.middleware.csrf.CsrfViewMiddleware

局部：

  • @csrf_protect，为当前函数强制设置防跨站请求伪造功能，即便settings中没有设置全局中间件。
  • @csrf_exempt，取消当前函数防跨站请求伪造功能，即便settings中设置了全局中间件。

注：from django.views.decorators.csrf import csrf_exempt,csrf_protect

csrf:跨站请求伪造（生成随机字符串），每次操作访问时则检查随机的字符串
csrf：post时，需要用户携带随机字符串

二、应用

1、普通表单

veiw中设置返回值：

　　return render_to_response('Account/Login.html',data,context_instance=RequestContext(request))　　

     或者

     return render(request, 'xxx.html', data)

html中设置Token:

　　{% csrf_token %}

　　

2、Ajax

对于传统的form，可以通过表单的方式将token再次发送到服务端，而对于ajax的话，使用如下方式。

示例：

urls.py

from django.conf.urls import url

from django.contrib import admin

from app01 import views

urlpatterns = [

    url(r'^admin/', admin.site.urls),

    # 关于csrf:跨站请求伪造（生成随机字符串），每次操作访问时则检查随机的字符串

    url(r'^csrf1.html$',views.csrf1),

]

views.py

from django.shortcuts import render,HttpResponse

from django.views import View

from app01 import models

from django.views.decorators.csrf import csrf_exempt,csrf_protect

# =============关于csrf的：

# csrf:跨站请求伪造（生成随机字符串），每次操作访问时则检查随机的字符串

# 1.将setting里面的csrf的注释去掉

@csrf_protect#这个指的是局部使用，全站禁用，（仅仅在下面的这个被装饰的函数使用csrf）需要注释setting里的csrf

@csrf_exempt#这个指的是局部禁用，全站使用，（仅仅在下面的这个被装饰的函数禁用csrf）不能注释setting里的csrf

def csrf1(request):

    if request.method=="GET":

        return render(request,"csrf1.html")

    else:

        return HttpResponse("good")

csrf1.html

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>Title</title>

</head>

<body>

<form method="post" action="/csrf1.html">

    {% csrf_token %}

{#    {{ csrf_token }}#}

    <input id="user" type="text" name="username">

    <input type="submit" value="提交">

    <a onclick="submitForm();">Ajax提交</a>

</form>

<script src="/static/jquery-1.12.4.js"></script>

<script src="/static/jquery.cookie.js"></script>

<script>

    function submitForm() {

        var token=$.cookie("csrftoken");

{#        var token=$.cookie("csrftoken");这个根据cookie的key来取的随机生成的cookie的value值#}

        var user=$("#user").val();

        $.ajax({

            url:"/csrf.html",

            type:"POST",

            headers:{"X-CSEFToken":token},

            data:{"user":user},

            success:function (arg) {

                console.log(arg);

            }

        })

    }

</script>

</body>

</html>

三、csrf基于FBV和CBV的应用

示例：

from django.shortcuts import render,HttpResponse

from django.views import View

from app01 import models

from django.views.decorators.csrf import csrf_exempt,csrf_protect

# =======csrf里面的CBV(基于类的方式)应用装饰器

from django.views import View

from django.utils.decorators import method_decorator

# 1、先自定义一个闭包函数做装饰器

def wrapper(func):

    def inner(*args,**kwargs):

        return func(*args,**kwargs)

    return inner

# 关于cbv的应用装饰器，方法一：在指定的方法上添加装饰器

class Foo(View):

    @method_decorator(wrapper)#仅仅在下面的函数内有效

    def get(self,request):

        # return HttpResponse("login_get")

        return render(request,"login.html")

    def post(self,request):

        print(request.POST.get("username"))

        return HttpResponse("login_post")

# 方法二：在类上面添加

# @method_decorator(wrapper,name="get")#仅仅给类里面的get函数使用

@method_decorator(wrapper,name="dispatch")#给下面所有的函数使用

class Foo(View):

    def dispatch(self, request, *args, **kwargs):

        pass

    def get(self,request):

        # return HttpResponse("login_get")

        return render(request,"login.html")

    def post(self,request):

        print(request.POST.get("username"))

        return HttpResponse("login_post")

　　

xss攻击

- 慎用 safe和mark_safe
- 非要用，一定要过滤关键字

示例：

xss攻击

    跨站脚本攻击：

    防止：

        -其他人输入的内容  不用safe

        -自己输入的内容    可用safe

    <scripts>

        for(var i=0;i<9999;i++){

            alert(i)

        }

    </scripts>   

    <scripts>

        获取本地cookie,发送到别外一个网站

    </scripts>

Django之cfrs跨站请求伪造和xfs攻击的更多相关文章

  1. Django之CSRF 跨站请求伪造

    一.简介 1.点我了解什么是跨站请求伪造 2.django为用户实现防止跨站请求伪造的功能,通过中间件 django.middleware.csrf.CsrfViewMiddleware 来完成.而对 ...

  2. Django添加防跨站请求伪造中间件

    第一步: 在全局设置中打开此中间件: MIDDLEWARE_CLASSES = [ ... 'django.middleware.csrf.CsrfViewMiddleware', ... ]     ...

  3. Django框架之跨站请求伪造

    跨站请求伪造(英语:Cross-site request forgery),也被称为one-click attack或者session riding,通常缩写为CSRF或者XSRF, 是一种挟制用户在 ...

  4. django CBV装饰器 自定义django中间件 csrf跨站请求伪造 auth认证模块

    CBV加装饰器 第一种 @method_decorator(装饰器) 加在get上 第二种 @method_decorator(login_auth,name='get') 加在类上 第三种 @met ...

  5. django的csrf跨站请求伪造

    1.什么是跨站请求伪造 请看图: 我们自行写了一个网站模仿中国银行,用户不知道是否是真的中国银行,并且提交了转账信息,生成一个form表单,向银行服务器发送转账请求,这个form表单和正规银行网站的f ...

  6. Django之CSRF跨站请求伪造（老掉牙的钓鱼网站模拟）

    首先这是一个测试的代码 请先在setting页面进行下面操作 注释完成后,开始模拟钓鱼网站的跨站请求伪造操作: 前端代码: <!DOCTYPE html> <html lang=&q ...

  7. 跨站请求伪造CSRF：攻击与防御

    CSRF是什么         (Cross Site Request Forgery, 跨站域请求伪造)是一种网络的攻击方式,它在 2007 年曾被列为互联网 20 大安全隐患之一,也被称为&quo ...

  8. django中csrftoken跨站请求伪造的几种方式

    1.介绍 我们之前从前端给后端发送数据的时候,一直都是把setting中中间件里的的csrftoken这条给注释掉,其实这个主要起了一个对保护作用,以免恶意性数据的攻击.但是这样直接注释掉并不是理智型 ...

  9. Web框架之Django_09 重要组件（Django中间件、csrf跨站请求伪造）

    摘要 Django中间件 csrf跨站请求伪造 一.Django中间件: 什么是中间件? 官方的说法:中间件是一个用来处理Django的请求和响应的框架级别的钩子.它是一个轻量.低级别的插件系统,用于 ...

随机推荐

  1. Deepin系统又损坏了！

    1.首先,去Deepin官方下载镜像(记得MD5检验一下).2.提取ISO里的安装程序到桌面,执行之&写入.(提醒:勾选下面的支持BIOS启动的选项,自测深度的UEFI很不稳定,建议不使用UE ...

  2. Spring Cloud Sleuth服务跟踪

    监控 使用zipkin(https://zipkin.io/) 监控服务构建: (普通的springBoot项目) <!--引入的zipkinServer依赖--> <depende ...

  3. bzoj4484[JSOI2015]最小表示

    题意 给出一张DAG,要求删除尽量多的边使得连通性不变.(即:若删边前u到v有路径,则删边后仍有路径).点数30000,边数100000. 分析 如果从u到v有(u,v)这条边,且从u到v只有这一条路 ...

  4. 再谈获取网站图标Icon

    上一篇文章讨论了一下获取网站图标方法,是通过从根目录直接获取和html解析结合的方式来获取的,并给出了相应的代码示例.这一篇来讨论一个更现成的方法,这个方法是从360导航的页面发现的,在导航页面中点击 ...

  5. Crossing Rivers HDU - 3232 （均匀分布）

    题目大意:A,B相距D,A,B间有n条河,河宽Li,每条河上有一个速度为vi的船,在河山来回行驶,每条河离A的距离为pi,现在求从A到B时间的期望,步行速度始终为1 题目分析:首先如果全部步行则期望为 ...

  6. 【刷题】BZOJ 4573 [Zjoi2016]大森林

    Description 小Y家里有一个大森林,里面有n棵树,编号从1到n.一开始这些树都只是树苗,只有一个节点,标号为1.这些树都有一个特殊的节点,我们称之为生长节点,这些节点有生长出子节点的能力.小 ...

  7. 【单调栈】【CF5E】 Bindian Signalizing

    传送门 Description 给你一个环,环上有一些点,点有点权.定义环上两点能相互看见当且仅当两点间存在一个弧使得弧上不存在一个点的点权大于着两个点.求一共有多少个点能互相看到 Input 第一行 ...

  8. dorado7常用内容

    1.dataset添加数据this.get("#dsProduct").getData().insert();或者this.get("#dsProduct"). ...

  9. oracle、mysql、db2三大数据库分页方法的整理

    最近项目中经常会涉及到代码中支持三种数据库的分页的功能,自己整理了关于三种数据库的分页的写法,分享给大家,以供大家使用.希望能帮到更多的码友! 先来看一个代码片段: String page = ala ...

  10. [CodeForces]String Reconstruction

    http://codeforces.com/contest/828/problem/C 并查集的神奇应用. #include<bits/stdc++.h> using namespace ...