python CSRF跨站请求伪造

 <!DOCTYPE html>

 <html lang="en">

 <head>

     <meta charset="UTF-8">

     <title>Title</title>

 </head>

 <body>

     <form method="POST" action="/csrf1.html/">

         {% csrf_token %}

         <input type="text" name="user">

         <input type="submit" value="提交"/>

     </form>

 </body>

 </html>

csrf.html

 """day73 URL Configuration

 The `urlpatterns` list routes URLs to views. For more information please see:

     https://docs.djangoproject.com/en/1.10/topics/http/urls/

 Examples:

 Function views

     1. Add an import:  from my_app import views

     2. Add a URL to urlpatterns:  url(r'^$', views.home, name='home')

 Class-based views

     1. Add an import:  from other_app.views import Home

     2. Add a URL to urlpatterns:  url(r'^$', Home.as_view(), name='home')

 Including another URLconf

     1. Import the include() function: from django.conf.urls import url, include

     2. Add a URL to urlpatterns:  url(r'^blog/', include('blog.urls'))

 """

 from django.conf.urls import url

 from django.contrib import admin

 from app01 import views

 urlpatterns = [

     url(r'^csrf1',views.csrf1),

 ]

urls

 """

 Django settings for day73 project.

 Generated by 'django-admin startproject' using Django 1.10.6.

 For more information on this file, see

 https://docs.djangoproject.com/en/1.10/topics/settings/

 For the full list of settings and their values, see

 https://docs.djangoproject.com/en/1.10/ref/settings/

 """

 import os

 # Build paths inside the project like this: os.path.join(BASE_DIR, ...)

 BASE_DIR = os.path.dirname(os.path.dirname(os.path.abspath(__file__)))

 # Quick-start development settings - unsuitable for production

 # See https://docs.djangoproject.com/en/1.10/howto/deployment/checklist/

 # SECURITY WARNING: keep the secret key used in production secret!

 SECRET_KEY = 'ct2d2^2k(l&%n@96xsd9y#0@!^_5a^peanb69ndouz&gx6%n3o'

 # SECURITY WARNING: don't run with debug turned on in production!

 DEBUG = True

 ALLOWED_HOSTS = []

 # Application definition

 INSTALLED_APPS = [

     'django.contrib.admin',

     'django.contrib.auth',

     'django.contrib.contenttypes',

     'django.contrib.sessions',

     'django.contrib.messages',

     'django.contrib.staticfiles',

     'app01.apps.App01Config',

 ]

 # csef设置地方如下：

 MIDDLEWARE = [

     'django.middleware.security.SecurityMiddleware',

     'django.contrib.sessions.middleware.SessionMiddleware',

     'django.middleware.common.CommonMiddleware',

    #'django.middleware.csrf.CsrfViewMiddleware',

     'django.contrib.auth.middleware.AuthenticationMiddleware',

     'django.contrib.messages.middleware.MessageMiddleware',

     'django.middleware.clickjacking.XFrameOptionsMiddleware',

 ]

 ROOT_URLCONF = 'day73.urls'

 TEMPLATES = [

     {

         'BACKEND': 'django.template.backends.django.DjangoTemplates',

         'DIRS': [os.path.join(BASE_DIR,'templates')]

         ,

         'APP_DIRS': True,

         'OPTIONS': {

             'context_processors': [

                 'django.template.context_processors.debug',

                 'django.template.context_processors.request',

                 'django.contrib.auth.context_processors.auth',

                 'django.contrib.messages.context_processors.messages',

             ],

         },

     },

 ]

 WSGI_APPLICATION = 'day73.wsgi.application'

 # Database

 # https://docs.djangoproject.com/en/1.10/ref/settings/#databases

 # DATABASES = {

 #     'default': {

 #         'ENGINE': 'django.db.backends.sqlite3',

 #         'NAME': os.path.join(BASE_DIR, 'db.sqlite3'),

 #     }

 # }

 DATABASES = {

     'default': {

         'ENGINE': 'django.db.backends.mysql',

         'NAME': 'ff3',

         'USER': 'root',

         'PASSWORD': '',

         'HOST': 'localhost',

         'PORT': 3306,

     }

 }

 # Password validation

 # https://docs.djangoproject.com/en/1.10/ref/settings/#auth-password-validators

 AUTH_PASSWORD_VALIDATORS = [

     {

         'NAME': 'django.contrib.auth.password_validation.UserAttributeSimilarityValidator',

     },

     {

         'NAME': 'django.contrib.auth.password_validation.MinimumLengthValidator',

     },

     {

         'NAME': 'django.contrib.auth.password_validation.CommonPasswordValidator',

     },

     {

         'NAME': 'django.contrib.auth.password_validation.NumericPasswordValidator',

     },

 ]

 # Internationalization

 # https://docs.djangoproject.com/en/1.10/topics/i18n/

 LANGUAGE_CODE = 'en-us'

 TIME_ZONE = 'UTC'

 USE_I18N = True

 USE_L10N = True

 USE_TZ = True

 # Static files (CSS, JavaScript, Images)

 # https://docs.djangoproject.com/en/1.10/howto/static-files/

 STATIC_URL = '/static/'

 STATICFILES_DIRS =(

     os.path.join(BASE_DIR,'static'),

 )

settings设置

注：在django中，如果setting里面# 'django.middleware.csrf.CsrfViewMiddleware',被注释，则没有csrf限制，

　    否则有csrf限制。

　　如果有csrf有限制或无限制，应用时2则有以下解决方案：

<br>#******************基本应用**********************

# a.（HTML表单中form表单添加）

    # { % csrf_token %}

# def csrf1(request):

#     if request.method == 'GET':

#         return render(request,'csrf1.html')

#     else:

#         return HttpResponse('哥们干啥来了')

# ***********************************************　

#******************全站禁用***********************

# b.(settings设置里面）

# 'django.middleware.csrf.CsrfViewMiddleware',

#************************************************

　　

#******************局部禁用***********************

# c.（全站使用前提下可以使用局部禁用）

# 'django.middleware.csrf.CsrfViewMiddleware',

# from django.views.decorators.csrf import csrf_exempt

# @csrf_exempt

# def csrf1(request):

#     if request.method == 'GET':

#         return render(request, 'csrf1.html')

#     else:

#         return HttpResponse('ok')

# ************************************************

# ****************局部使用*************************

# d.（全站禁用前提下可以使用局部使用）

# 'django.middleware.csrf.CsrfViewMiddleware',

# from django.views.decorators.csrf import csrf_protect

# @csrf_protect

# def csrf1(request):

#     if request.method == 'GET':

#         return render(request, 'csrf1.html')

#     else:

#         return HttpResponse('ok')

# ************************************************

#****************CBV中添加装饰器********************

# c.特殊CBV

# from django.views import View

# from django.utils.decorators import method_decorator

# @method_decorator(csrf_protect, name='dispatch')

# class Foo(View):

#     def get(self, request):

#         pass

#

#     def post(self, request):

#         pass

# def wrapper(func):

#      def inner(*args,**kwargs):

#          return func(*args,**kwargs)

#      return inner

 # 1. 指定方法上添加装饰器

    # class Foo(View):

    #     @method_decorator(wrapper)

    #     def get(self,request):

    #         pass

    #     def post(self,request):

    #         pass

# 2. 在类上添加

    #     @method_decorator(wrapper,name='dispatch')     #全部类添加

    #     @method_decorator(wrapper, name='get')         # 只给get添加

    #     @method_decorator(wrapper, name='post')        # 只给post添加

    #     class Foo(View):

    #         def dispatch(self,request,*args,**kwargs)

    #               pass

    #         def get(self,request):

    #             pass

    #         def post(self,request):

    #             pass

#************************************************

二.Django之CSRF（Ajax）请求

def csrf1(request):

     if request.method == 'GET':

         return render(request,'csrf1.html')

     else:

         return HttpResponse('哥们干啥来了')

views.py<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>Title</title>

</head>

<body>

    <form method="POST" action="/csrf1.html/">

        {% csrf_token %}

        <input type="text" name="user">

        <input type="submit" value="提交"/>

        <a onclick="submitForm();">Ajax提交</a>

    </form>

<script src="/static/jquery-3.2.1.js"></script>

<script src="/static/jquery.cookie.js"></script>

<script>

第一种方式：

    function submitForm() {

        var csrf = $('input[name="csrfmiddlewaretoken"]').val();

        var user = $('#user').val();

        $.ajax({

            url:'/csrf1.html',

            type:'POST',

            data:{"user":user,'csrfmiddlewaretoken':csrf},

            success:function (arg) {

                console.log(arg);

            }

        })

    }

第二种方式：

{#    获取Console值：在浏览器Console上输入document.cookie#}

    function submitForm() {

        var token = $.cookie('csrftoken');

        var csrf = $('input[name="csrfmiddlewaretoken"]').val();

        var user = $('#user').val();

        $.ajax({

            url:'/csrf1.html',

            type:'POST',

            headers:{'X-CSRFToken':token},

            data:{"user":user},

            success:function (arg) {

                console.log(arg);

            }

        })

    }

</script>

</body>

</html>

python CSRF跨站请求伪造的更多相关文章

  1. python 全栈开发，Day87(ajax登录示例,CSRF跨站请求伪造,Django的中间件,自定义分页)

    一.ajax登录示例 新建项目login_ajax 修改urls.py,增加路径 from app01 import views urlpatterns = [ path('admin/', admi ...

  2. 什么是CSRF跨站请求伪造？(from表单效验csrf-ajdax效验csrf-Ajax设置csrf-CBV装饰器验证csrf)

    目录 一:csrf跨站请求伪造 1.什么是CSRF? 2.CSRF攻击案例(钓鱼网站) 3.钓鱼网站 内部原理 4.CSRF原理(钓鱼网站内部本质) 5.从上图可以看出,要完成一次CSRF攻击,受害者 ...

  3. Django之CSRF跨站请求伪造（老掉牙的钓鱼网站模拟）

    首先这是一个测试的代码 请先在setting页面进行下面操作 注释完成后,开始模拟钓鱼网站的跨站请求伪造操作: 前端代码: <!DOCTYPE html> <html lang=&q ...

  4. ajax向Django前后端提交请求和CSRF跨站请求伪造

    1.ajax登录示例 urls.py from django.conf.urls import url from django.contrib import admin from app01 impo ...

  5. 第三百一十五节，Django框架，CSRF跨站请求伪造

    第三百一十五节,Django框架,CSRF跨站请求伪造  全局CSRF 如果要启用防止CSRF跨站请求伪造,就需要在中间件开启CSRF #中间件 MIDDLEWARE = [ 'django.midd ...

  6. Django中的CSRF(跨站请求伪造)

    Django中的CSRF(跨站请求伪造) Django CSRF  什么是CSFR 即跨站请求伪装,就是通常所说的钓鱼网站. 钓鱼网站的页面和正经网站的页面对浏览器来说有什么区别? (页面是怎么来的? ...

  7. Django框架 之 基于Ajax中csrf跨站请求伪造

    Django框架 之 基于Ajax中csrf跨站请求伪造 ajax中csrf跨站请求伪造 方式一 1 2 3 $.ajaxSetup({     data: {csrfmiddlewaretoken: ...

  8. 十三 Django框架，CSRF跨站请求伪造

     全局CSRF 如果要启用防止CSRF跨站请求伪造,就需要在中间件开启CSRF #中间件 MIDDLEWARE = [ 'django.middleware.security.SecurityMidd ...

  9. Web框架之Django_09 重要组件（Django中间件、csrf跨站请求伪造）

    摘要 Django中间件 csrf跨站请求伪造 一.Django中间件: 什么是中间件? 官方的说法:中间件是一个用来处理Django的请求和响应的框架级别的钩子.它是一个轻量.低级别的插件系统,用于 ...

随机推荐

  1. VMware 滴滴声解决

    去除虚拟机tab时的滴滴声 # cat /etc/inputrc Set bell-style none 重启生效

  2. [总结] 第二类Stirling数

    上一道例题 我们来介绍第二类Stirling数 定义 第二类Stirling数实际上是集合的一个拆分,表示将n个不同的元素拆分成m个集合的方案数,记为 或者 .和第一类Stirling数不同的是,集合 ...

  3. freeMark的入门教程

    1.FreeMarker支持如下转义字符: \";双引号(u0022) \';单引号(u0027) \\;反斜杠(u005C) \n;换行(u000A) \r;回车(u000D) \t;Ta ...

  4. poj 3620

    题意:给出一个矩阵,其中有些格子干燥.有些潮湿. 如果一个潮湿的格子的相邻的四个方向有格子也是潮湿的,那么它们就可以构成更大 的湖泊,求最大的湖泊. 也就是求出最大的连在一块儿的潮湿的格子的数目. # ...

  5. 上传到 App Store 时出错。

      Try this, it fixed it for me. Open Terminal and run: cd ~ mv .itmstransporter/ .old_itmstransporte ...

  6. Jenkins + Docker 持续集成

    Jenkins介绍 Jenkins是一个开源软件项目,是基于Java开发的一种持续集成工具,用于监控持续重复的工作,旨在提供一个开放易用的软件平台,使软件的持续集成变成可能. 安装部署Jenkins ...

  7. Redis这些知识点，是必须知道的！

    Redis是一个开源(BSD许可)的内存数据结构存储,可作为数据库,缓存和消息队列.相比Memcached它支持更多的数据结构,如string(字符串),hash(哈希),list(链表),set(集 ...

  8. Algorithm --> 阶乘和因子

    阶乘和因子 要求:输入正整数n(1<n <101), 把阶乘n!=1x2x3x...xn分解成素因子相乘的形式,从小到大输出各个素数(2,3,5,...)的指数. 例如825=3x52x1 ...

  9. java开发常用技术

    基础部分 1. 线程和进程的区别 线程三个基本状态:就绪.执行.阻塞 线程五个基本操作:创建.就绪.运行.阻塞.终止 进程四种形式:主从式.会话式.消息或邮箱机制.共享存储区方式 进程是具有一定功能的 ...

  10. Java基础学习笔记二十八 管家婆综合项目

    本项目为JAVA基础综合项目,主要包括: 熟练View层.Service层.Dao层之间的方法相互调用操作.熟练dbutils操作数据库表完成增删改查. 项目功能分析 查询账务 多条件组合查询账务 添 ...