国产成人自拍av_国产精品18久久久久久久_国产精品久久久久无码av_青青草原综合久久大伊人精品_蜜桃视频一区二区三区_国产黄色小视频

首页企业服务技能帖|谈谈Django的CSRF插件的漏洞技能帖|谈谈Django的CSRF插件的漏洞

技能帖|谈谈Django的CSRF插件的漏洞


django框架做的网站_制作框架网页_网站框架搭建需要什么技术

网站框架搭建需要什么技术_django框架做的网站_制作框架网页

今年十月份我的第二本书《基于的电子商务网站设计》出版了,在这本书中我不仅介绍了如何利用框架搭建电子商务网站,也论述了如何利用的类对所创建的电子商务产品进行接口测试。

在书写极乐口测试代码过程中,我遇到的最大的困难就是如何通过测试程序绕过的防止CSRF攻击的插件,通过近一个多月的努力我终于解决了这个问题,但是同时也揭露了框架的防止CSRF攻击的插件的漏洞。首先我们来看一下什么是CSRF攻击。

1、什么是CSRF攻击?

我们假设一个网站的HTML代码如下:

网站框架搭建需要什么技术_django框架做的网站_制作框架网页

大家都知道,采用验证码的目的是为了防止“黑客”,利用机器来通过穷举的方法来试图登录系统。检查验证码是否正确用的往往是前端做的判断。这样,“黑客”可以采用自己的网站建立如下页面:

django框架做的网站_网站框架搭建需要什么技术_制作框架网页

大家可以看见,在这段代码中验证码没有了,form的变成了绝对路径,这样“黑客”就绕过了前端的验证,可以对自己代码进行编写自动化脚本实现用穷举的方法来试图登录系统。这个就是CSRF攻击。

2、的CSRF插件是如何解决CSRF攻击的

下面让我们来看一下的CSR插件是如何解决CSRF攻击的。利用了一个名为..csrf.的中间件(可以在的.py中设置)利用CSRF令牌的方式来控制。具体方式生成一个一百个字符的随机字符串作为CSRF令牌,在表单中产生一个名为的表单,把这个CSRF令牌的值放入这个字段中,然后在提交这个表单的时候产生一个名为的,这个的值也是CSRF令牌的值。

网站框架搭建需要什么技术_制作框架网页_django框架做的网站

后台检查如果表单的值与的的值一致,则返回200返回码,进入登录后的页面,否则返回403返回码,拒绝进入系统。由于这个CSRF令牌是随机生成的一百个字符的字符串,“黑客”是很难猜到这个字符的,所以就达到了CSRF的攻击防护。

3、的CSRF插件的漏洞

3.1通过类破解

但是这个CSRF插件是有漏洞的,在页面.html页面载入后,黑客可以通过某种手段(比如正则表达式)获得这个CSRF令牌(即中的一百个字符值),然后构造一个名为的,名为刚才过的的CSRF令牌值,这样就有了下面的代码。

网站框架搭建需要什么技术_制作框架网页_django框架做的网站

代码“ =str(re.(r"name=\'\' =\'(.+?)\'/>",text))”是通过re.正则方法获得CSRF令牌,存在变量中,由于用这个方法获得的值是“["CSRF令牌值"]”格式的,也就是说去前面多了个“["”,后面多了个“"]”,所以后面用语句“ = [2:-2]”过滤出来,然后利用的post方法,先构造post参数:“={"":"","":"","":}”,这里“"":”让表单仍旧为值。通过 = {"":}构造值,通过=作为post参数传给后台。这样表单的值与的值是一致的,所以,登录通过。

后来,我惊奇的发现不用这么麻烦,我们直接把表单的值与的值设置相同,即:

制作框架网页_网站框架搭建需要什么技术_django框架做的网站

3.2通过框架破解

下面的代码是利用做基于GUI的自动化测试代码。

网站框架搭建需要什么技术_制作框架网页_django框架做的网站

代码通过 =self..("").("")获取表单的值,通过elf..({"name":"","":})把这个值放入到名为的中。

3.3通过破解

在也可以破解,如下图:

django框架做的网站_网站框架搭建需要什么技术_制作框架网页

通过正则表达式提取器获取.html中的值。

网站框架搭建需要什么技术_制作框架网页_django框架做的网站

把获得的值放入名为的中

制作框架网页_django框架做的网站_网站框架搭建需要什么技术

把获得的值仍旧作为表单参数传给后台处理。

3.4通过破解

在中,录制完毕,脚本就直接把表单参数作为名为的传给后台,不用做任何代码修改。正是不可思议。

制作框架网页_django框架做的网站_网站框架搭建需要什么技术

文:顾翔

图源:网络


主站蜘蛛池模板: 99热在线观看精品 | 懂色av噜噜一区二区三区av88 | 成人a视频片观看免费 | 99亚洲天堂| 亚洲美女自拍视频 | 久久久久国产精品www | 国产一区二区三区免费观看 | 中文字幕一区二区三天 | 中文字幕不卡一区 | 91视频在线看 | 午夜免 | 91精品国产高清一区二区三区 | 天天添夜夜操 | 91成人入口 | 制服丝袜日日夜夜 | 在线视频亚洲精品 | 国产福利在线小视频 | 91视频综合网 | 1204国产成人精品视频下载 | 成年免费视频 | 91亚洲国产| 亚洲第一区在线观看 | 国产日韩欧美一区二区三区乱码 | 91正在播放 | 中国一级毛片在线观看 | 亚洲一区二区三区四区五区中文 | 九色视频在线播放 | 91视频在线观看大全 | 久久成人免费视频 | 91视频地址| 免费观看福利视频 | 97国产情侣爱久久免费观看 | a一级免费视频 | 91视频免费观看入口 | 日本一级少妇免费视频乌克兰裸体 | 91成人在线视频 | 在线观看深夜福利 | 91黄视频| aa国产视频一区二区 | 久草这里只有精品 | 亚洲一区二区三区自拍天堂下载 |