国产成人自拍av_国产精品18久久久久久久_国产精品久久久久无码av_青青草原综合久久大伊人精品_蜜桃视频一区二区三区_国产黄色小视频

首页企业服务技能帖|谈谈Django的CSRF插件的漏洞技能帖|谈谈Django的CSRF插件的漏洞

技能帖|谈谈Django的CSRF插件的漏洞


django框架做的网站_制作框架网页_网站框架搭建需要什么技术

网站框架搭建需要什么技术_django框架做的网站_制作框架网页

今年十月份我的第二本书《基于的电子商务网站设计》出版了,在这本书中我不仅介绍了如何利用框架搭建电子商务网站,也论述了如何利用的类对所创建的电子商务产品进行接口测试。

在书写极乐口测试代码过程中,我遇到的最大的困难就是如何通过测试程序绕过的防止CSRF攻击的插件,通过近一个多月的努力我终于解决了这个问题,但是同时也揭露了框架的防止CSRF攻击的插件的漏洞。首先我们来看一下什么是CSRF攻击。

1、什么是CSRF攻击?

我们假设一个网站的HTML代码如下:

网站框架搭建需要什么技术_django框架做的网站_制作框架网页

大家都知道,采用验证码的目的是为了防止“黑客”,利用机器来通过穷举的方法来试图登录系统。检查验证码是否正确用的往往是前端做的判断。这样,“黑客”可以采用自己的网站建立如下页面:

django框架做的网站_网站框架搭建需要什么技术_制作框架网页

大家可以看见,在这段代码中验证码没有了,form的变成了绝对路径,这样“黑客”就绕过了前端的验证,可以对自己代码进行编写自动化脚本实现用穷举的方法来试图登录系统。这个就是CSRF攻击。

2、的CSRF插件是如何解决CSRF攻击的

下面让我们来看一下的CSR插件是如何解决CSRF攻击的。利用了一个名为..csrf.的中间件(可以在的.py中设置)利用CSRF令牌的方式来控制。具体方式生成一个一百个字符的随机字符串作为CSRF令牌,在表单中产生一个名为的表单,把这个CSRF令牌的值放入这个字段中,然后在提交这个表单的时候产生一个名为的,这个的值也是CSRF令牌的值。

网站框架搭建需要什么技术_制作框架网页_django框架做的网站

后台检查如果表单的值与的的值一致,则返回200返回码,进入登录后的页面,否则返回403返回码,拒绝进入系统。由于这个CSRF令牌是随机生成的一百个字符的字符串,“黑客”是很难猜到这个字符的,所以就达到了CSRF的攻击防护。

3、的CSRF插件的漏洞

3.1通过类破解

但是这个CSRF插件是有漏洞的,在页面.html页面载入后,黑客可以通过某种手段(比如正则表达式)获得这个CSRF令牌(即中的一百个字符值),然后构造一个名为的,名为刚才过的的CSRF令牌值,这样就有了下面的代码。

网站框架搭建需要什么技术_制作框架网页_django框架做的网站

代码“ =str(re.(r"name=\'\' =\'(.+?)\'/>",text))”是通过re.正则方法获得CSRF令牌,存在变量中,由于用这个方法获得的值是“["CSRF令牌值"]”格式的,也就是说去前面多了个“["”,后面多了个“"]”,所以后面用语句“ = [2:-2]”过滤出来,然后利用的post方法,先构造post参数:“={"":"","":"","":}”,这里“"":”让表单仍旧为值。通过 = {"":}构造值,通过=作为post参数传给后台。这样表单的值与的值是一致的,所以,登录通过。

后来,我惊奇的发现不用这么麻烦,我们直接把表单的值与的值设置相同,即:

制作框架网页_网站框架搭建需要什么技术_django框架做的网站

3.2通过框架破解

下面的代码是利用做基于GUI的自动化测试代码。

网站框架搭建需要什么技术_制作框架网页_django框架做的网站

代码通过 =self..("").("")获取表单的值,通过elf..({"name":"","":})把这个值放入到名为的中。

3.3通过破解

在也可以破解,如下图:

django框架做的网站_网站框架搭建需要什么技术_制作框架网页

通过正则表达式提取器获取.html中的值。

网站框架搭建需要什么技术_制作框架网页_django框架做的网站

把获得的值放入名为的中

制作框架网页_django框架做的网站_网站框架搭建需要什么技术

把获得的值仍旧作为表单参数传给后台处理。

3.4通过破解

在中,录制完毕,脚本就直接把表单参数作为名为的传给后台,不用做任何代码修改。正是不可思议。

制作框架网页_django框架做的网站_网站框架搭建需要什么技术

文:顾翔

图源:网络


主站蜘蛛池模板: 一级不卡免费视频 | 大伊人狠狠躁夜夜躁av一区 | 999偷拍精品视频 | 91亚洲国产成人精品一区二三 | 久久1区2区3区 | 国产成人精品一区二 | 人人干影院 | 亚色中文 | 91亚洲国产成人久久精品麻豆 | 91精品大片 | 久久九九热 | www.久久国产精品 | 亚洲免费a视频 | 免费成人在线播放 | 91国内在线视频 | 国内91视频 | 一区二区在线不卡 | a在线一区| 91在线免费播放视频 | 一本一道久久久a久久久精品蜜臀 | 午夜在线观看福利 | 91视频在线观看大全 | 成年免费黄色网 | 国产精品日本欧美一区二区三区 | 人体一区 | 国产二区久久 | 亚一区 | 久久久黄网 | 在线视频观看91 | 91.xxx.高清在线 | 99国产精品久久久久久久床豆 | 91精品久久久久久久久中文字幕 | 国产骚熟 | 久久久亚洲一区 | 在线一区二区三区视频 | 91嫩草私人成人亚洲影院 | 免费成人午夜视频 | 97超碰在线播放 | 影音先锋91在线 | 亚洲美女视频一区二区 | 久久久久国产欧美 |