Django—XSS及CSRF
一、XSS
跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。
1. 工作流程
a. 恶意用户，在一些公共区域（例如，建议提交表单或消息公共板的输入表单）输入一些文本，这些文本被其它用户看到，但这些文本不仅仅是他们要输入的文本，同时还包括一些可以在客户端执行的脚本。如：
<script>
this.document = "*********";
alert('Not Safe');
</script>
b. 恶意提交这个表单
c. 其他用户看到这个包括恶意脚本的页面并执行，获取用户的cookie等敏感信息。
2. 实例-未防范XSS攻击
pinglu = [] # 评论列表 #提交表单
def commit(request):
if request.method == 'GET':
return render(request, 'commit.html')
else:
com = request.POST.get('commit')
pinglu.append(com)
return redirect('/index.html/') #查看评论页面
def index(request):
return render(request, 'index.html', {'commit': pinglu})
view.py
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>Title</title>
</head>
<body>
<h1>评论</h1>
<form action="/commit.html/" method="post">
<input type="text" name="commit">
<input type="submit" value="sumbit"> {{ error }}
</form>
</body>
</html>
commit.html
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>Title</title>
</head>
<body>
<h1>评论</h1>
{% for item in commit %}
<div>{{ item|safe }}</div>
{# item后加safe，默认数据安全，django不会做特殊处理#}
{% endfor %}
</body>
</html>
index.html
以上实例中，若在commit.html页面输入以下内容并提交：
<script> alert('恶意脚本') </script>
则会在index页面执行此行代码，弹出警告框(若包含恶意代码，则会执行)
3. 防范XSS攻击
- 最直接的方法就是对于无法控制的输入在html页面内不要使用safe
{# <div>{{ item|safe }}</div>#}
<div>{{ item }}</div>
- 也可以在views里进行过滤，防止特殊字符提交到数据库或网页内
def commit(request):
if request.method == 'GET':
return render(request, 'commit.html')
else:
com = request.POST.get('commit')
if '<script>' in com: # 过滤“<script>”关键字，防止恶意代码的提交
return render(request, 'commit.html', {'error': '此条评论有毒，已被和谐'})
else:
pinglu.append(com)
return redirect('/index.html/')
- 对于信任的链接或用户输入，使用 mark_safe 标记为安全
def make_safe(request):
from django.utils.safestring import mark_safe
temp = "<a href='http://www.baidu.com'>百度</a>"
#temp = mark_safe(temp)
return render(request, 'make_safe.html', {'temp': temp})
未使用mark_safe标记的链接
def make_safe(request):
from django.utils.safestring import mark_safe
temp = "<a href='http://www.baidu.com'>百度</a>"
temp = mark_safe(temp)
return render(request, 'make_safe.html', {'temp': temp})
使用mark_safe标记的安全链接
二、CSRF
CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。
1. 工作流程
攻击通过在授权用户访问的页面中包含链接或者脚本的方式工作：
2. django中如何防范
django为用户实现防止跨站请求伪造的功能，通过中间件 django.middleware.csrf.CsrfViewMiddleware 来完成。而对于django中设置防跨站请求伪造功能有分为全局和局部。
全局：
- 启用中间件 django.middleware.csrf.CsrfViewMiddleware
局部：
from django.views.decorators.csrf import csrf_exempt,csrf_protect
- @csrf_protect，为当前函数强制设置防跨站请求伪造功能，即便settings中没有设置全局中间件
- @csrf_exempt，取消当前函数防跨站请求伪造功能，即便settings中设置了全局中间件。
3. django中的具体应用方法
- form表单中添加
{%csrf_token%}
若form表单中未添加{% csrf_token %}，则会报403错误。
#settings.py中打开MIDDLEWARE设置
'django.middleware.csrf.CsrfViewMiddleware',
from django.shortcuts import render, HttpResponse, redirect def csrf_test(request):
if request.method == 'GET':
return render(request, 'csrf_test.html')
else:
return HttpResponse('ok')
views.py
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>csef_test</title>
</head>
<body>
<form action="/csrf_test.html/" method="post">
<input type="text" name="user" id="user">
<input type="submit" value="submit">
</form> </body>
</html>
csef_test.html
修改csef_test.html：
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>csef_test</title>
</head>
<body>
<form action="/csrf_test.html/" method="post">
{% csrf_token %}
<input type="text" name="user" id="user">
<input type="submit" value="submit">
</form> </body>
</html>
form表单中添加{% csrf_token %}
- 全站禁用，即将settings.py中的 'django.middleware.csrf.CsrfViewMiddleware' 注释掉即可
- 基于FBV视图的局部禁用和使用
#settings.py
#启用 'django.middleware.csrf.CsrfViewMiddleware', from django.views.decorators.csrf import csrf_exempt @csrf_exempt
def csrf_test(request):
if request.method == 'GET':
return render(request, 'csrf_test.html')
else:
return HttpResponse('ok')
局部禁用
#settings.py
#禁用 #'django.middleware.csrf.CsrfViewMiddleware', from django.views.decorators.csrf import csrf_protect @csrf_protect
def csrf_test(request):
if request.method == 'GET':
return render(request, 'csrf_test.html')
else:
return HttpResponse('ok')
局部使用
- 基于CBV视图的（只能局部使用或禁用类，不能在类方法里局部使用或禁用
#settings.py
#禁用 'django.middleware.csrf.CsrfViewMiddleware', from django.views import View
from django.views.decorators.csrf import csrf_protect
from django.utils.decorators import method_decorator @method_decorator(csrf_protect, name='dispatch')
class Foo(View):
def get(self, request):
pass def post(self, request):
pass
局部使用
#settings.py
#启用 'django.middleware.csrf.CsrfViewMiddleware', from django.views import View
from django.views.decorators.csrf import csrf_exempt
from django.utils.decorators import method_decorator @method_decorator(csrf_exempt, name='dispatch')
class Foo(View):
def get(self, request):
pass def post(self, request):
pass
局部禁用
- Ajax提交数据时，携带CSRF
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>csef_test</title>
</head>
<body>
<form action="/csrf_test.html/" method="post">
{% csrf_token %}
<input type="text" name="user" id="user">
{# <input type="submit" value="submit">#}
<a onclick="submitForm();">Ajax提交表单</a>
</form> <script src="/static/jquery-3.2.1.js"></script>
<script>
function submitForm() {
var csrf = $("input[name='csrfmiddlewaretoken']").val()
var user = $("#user").val()
$.ajax({
url: '/csrf_test.html/',
type: 'POST',
data: {"user": user, "csrfmiddlewaretoken": csrf},
success: function (arg) {
console.log(arg);
}
})
}
</script>
</body>
</html>
Ajax重写csrf_test,html，csrf数据存放于data中
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>csef_test</title>
</head>
<body>
<form action="/csrf_test.html/" method="post">
{% csrf_token %}
<input type="text" name="user" id="user">
{# <input type="submit" value="submit">#}
<a onclick="submitForm();">Ajax提交表单</a>
</form> <script src="/static/jquery-3.2.1.js"></script>
{#专门处理cookie的插件，提取cookie字符串#}
<script src="/static/jquery.cookie.js"></script> {#csrf数据放于data中#}
{#<script>#}
{# function submitForm() {#}
{# var csrf = $("input[name='csrfmiddlewaretoken']").val();#}
{# var user = $("#user").val();#}
{# $.ajax({#}
{# url: '/csrf_test.html/',#}
{# type: 'POST',#}
{# data: {"user": user, "csrfmiddlewaretoken": csrf},#}
{# success: function (arg) {#}
{# console.log(arg);#}
{# }#}
{# })#}
{# }#}
{#</script>#} {#csrf数据放于请求头中#}
<script>
function submitForm() {
var csrf = $.cookie('csrftoken');
var user = $("#user").val();
$.ajax({
url: '/csrf_test.html/',
type: 'POST',
headers: {'X-CSRFToken': csrf},
data: {"user": user},
success: function (arg) {
console.log(arg);
}
})
}
</script> </body>
</html>
Ajax重写csrf_test.html，csrf数据存放于headers中
注意：{% csrf_token %}和cookie中的csrftoken值不一样。
form表单中的隐藏csrf_token
cookie中
参考资料：
1. http://www.cnblogs.com/wupeiqi/articles/5246483.html
Django—XSS及CSRF的更多相关文章
- [oldboy-django][2深入django]xss攻击 + csrf
1 xss攻击 xss攻击(跨站脚本攻击,用户页面提交数据来盗取cookie) - 慎用safe, 和mark_safe -- 如果要用,必须要过滤 - 定义: 用户提交内容,在页面展示用html显示 ...
- 第三百九十二节，Django+Xadmin打造上线标准的在线教育平台—sql注入攻击,xss攻击,csrf攻击
第三百九十二节,Django+Xadmin打造上线标准的在线教育平台—sql注入攻击,xss攻击,csrf攻击 sql注入攻击 也就是黑客通过表单提交的地方,在表单里输入了sql语句,就是通过SQL语 ...
- Django是如何防止注入攻击-XSS攻击-CSRF攻击
注入攻击-XSS攻击-CSRF攻击介绍请访问:https://www.cnblogs.com/hwnzy/p/11219475.html Django防止注入攻击 Django提供一个抽象的模型层来组 ...
- XSS攻击&CSRF攻击 ----Django解决方案
XSS攻击: XSS又叫CSS (Cross Site Script) ,跨站脚本攻击.它指的是恶意攻击者往Web页面里插入恶意html代码,当用户浏览该页之时,嵌入其中Web里面的html代码会被执 ...
- XSS与CSRF两种跨站攻击比较
XSS:跨站脚本(Cross-site scripting) CSRF:跨站请求伪造(Cross-site request forgery) 在那个年代,大家一般用拼接字符串的方式来构造动态SQL 语 ...
- 【实习记】2014-08-23网络安全XSS与CSRF总结
XSS:脚本中的不速之客XSS:跨站脚本(Cross-site scripting)CSRF:冒充用户之手CSRF:跨站请求伪造(Cross-site request forgery) 谷歌搜 ...
- 总结 XSS 与 CSRF 两种跨站攻击
前言 在那个年代,大家一般用拼接字符串的方式来构造动态 SQL 语句创建应用,于是 SQL 注入成了很流行的攻击方式.在这个年代, 参数化查询 [1] 已经成了普遍用法,我们已经离 SQL 注入很远了 ...
- 总结XSS与CSRF两种跨站攻击
XSS:跨站脚本(Cross-site scripting),实际应是"CSS",但由于和层叠样式表CSS名称冲突,故改为"XSS" CSRF:跨站请求伪造(C ...
- XSS与CSRF两种跨站攻击总结
在那个年代,大家一般用拼接字符串的方式来构造动态 SQL 语句创建应用,于是 SQL 注入成了很流行的攻击方式.在这个年代, 参数化查询 [1] 已经成了普遍用法,我们已经离 SQL 注入很远了.但是 ...
随机推荐
- SQL总结-----触发器
概念 触发器是一种特殊类型的存储过程,不由用户直接调用.创建触发器时会对其进行定义,以便在对特定表或列作特定类型的数据修改时执行. 触发器可以查询其他表,而且可以包含复杂的 SQL 语句. 它们主要用 ...
- SpringMVC的JSP页面中中EL表达式不起作用的问题解决
原文地址:https://blog.csdn.net/sinat_35512245/article/details/53611663
- 3.2、Factorization Machine实践
1.在上一篇博客中我们构建度为二的因子分解机模型,这篇博客对这个模型进行实践 下图为准备的数据集: 完整代码为: # -*- coding: UTF-8 -*- # date:2018/6/6 # U ...
- createFile
#include<iostream> #include<windows.h> #include<stdio.h> using namespace std; int ...
- springboot设置日志级别时报错
配置springboot日志,输出级别为info,运行时报错: Caused by: org.springframework.boot.context.properties.bind.BindExce ...
- JAVA中 this关键字的用法
this 在类中就是代表当前对象,可以通过 this 关键字完成当前对象的成员属性.成员方法和构造方法的调用. 那么何时用 this? 当在定义类中的方法时,如果需要调用该类对象,就可以用 this来 ...
- php尝试调用一个图灵机器人
1.需要到图灵机器人的网址,去注册一下账号.网址:http://www.tuling123.com/sso-web/index.html?ReturnURL=http%3A%2F%2Fwww.tuli ...
- springMVC的一些入门配置
1.springMVC的描述 1.1.SpringMVC是Spring框架内置的MVC的实现.SpringMVC就是一个Spring内置的MVC子框架. 1.2.SpringMVC的作用是实现页面和后 ...
- localStorage、sessionStorage用法总结
1.作用 1.1 共同点: 都是用来存储客户端临时信息的对象. 均只能存储字符串类型的对象(虽然规范中可以存储其他原生类型的对象,但是目前为止没有浏览器对其进行实现). 1.2 ...
- 后台微信开发入口+关键字 回复等 关注公众号回复 注意获取随机Token 微信的对接校验Token保存到数据库的只是做第一次的校验 其他对微信公众号的操作是去缓存中获取7200S的随机Token
package com.epalmpay.controller.apiweixin; import com.epalmpay.commom.BaseController;import com.epal ...