【Django | 安全防护】CSRF跨站伪请求和SQL注入攻击

在这里插入图片描述

🤵‍♂️ 个人主页: @计算机魔术师
👨‍💻 作者简介：CSDN内容合伙人，全栈领域优质创作者。

🌐 推荐一款找工作神器网站: 牛客网🎉🎉|笔试题库|面试经验|实习招聘内推
还没账户的小伙伴速速点击链接跳转牛客网登录注册开始刷爆题库，速速通关面试吧🙋‍♂️

该文章收录专栏
✨—【Django | 项目开发】从入门到上线专栏—✨

文章目录

一、演示CSRF漏洞

在这里插入图片描述

二、环境准备

假设我们此时有一个视图用于创建
hr
管理员，不受
csrf_token
保护的情况

创建注册模板页面

{% extends 'base.html'%}{% block content %}{#  onload  = 'document.EvilForm.submit()  #}<form action="/create_hr_user/" method="post" name="EvilForm">{#                                               required 表示必填                                     #}
        First name <input name="username" value="attacker"type="text" required/>
        First password <input name="username" value="attacker123"type="password" required/>
        Second password <input name="username" value="attacker123"type="password" required/><inputtype="submit" value="提交"/></form>{% endblock %}

创建对应视图

"""
演示CSRF漏洞（cross site request forge)
"""from django.contrib.auth.models import Group, User
from django.views.decorators.csrf import csrf_exempt
from django.contrib.auth.decorators import permission_required
from django.contrib import messages

@csrf_exempt# 设置为不处理csrf攻击@permission_required('auth.add_user')# 只允许拥有创建用户的权限的用户defcreate_hr_user(request):if request.method =='GET':return render(request,'create_hr_user.html',{})if request.method =='POST':
        username = request.POST.get('username')
        password = request.POST.get('password')

        hr_group = Group.objects.create(name='hr')
        user = User(is_superuser=False, username=username, is_staff=True, is_active=True)
        user.set_password(password)
        user.save()# 添加一个群组对象
        user.groups.add(hr_group)

        messages.info(request,'成功添加用户hr ')return render(request,'create_hr_user.html')return render(request,'create_hr_user.html')

添加url

from django.conf import settings

# 演示CSRF 跨站请求伪造# 测试是否为开发环境if settings.DEBUG:
    urlpatterns +=(
        path('create_hr_user', jobs.views.create_hr_user, name='create_hr_user'))

表单演示
在这里插入图片描述

三、模拟黑客🐱‍👤

现在让我们看看如何在管理员不知情的情况下添加用户

攻击者提供一个页面，诱导管理员点击该页面，此时改
url
会自动提交,改
url
会直接调用之前创建管理员的页面，创建用户

作为黑客，我现在创建一个页面，在超级管理员点击改页面链接便会自动创建.（跨站行为）

<!DOCTYPEhtml><htmllang="en"><head><metacharset="UTF-8"><metahttp-equiv="X-UA-Compatible"content="IE=edge"><metaname="viewport"content="width=device-width, initial-scale=1.0"><title>Document</title></head><bodyonload='document.EvilForm.submit()'><formaction="http://127.0.0.1:8000/create_hr_user/"method="post"name="EvilForm">
        First name <inputname="username"value="attacker_coming"type="text"required/>
        First password <inputvalue="attacker123"type="password"name="password"required/>
        Second password <inputvalue="attacker123"type="password"name="retype_password"required/><inputtype="submit"value="提交"/></form></body></html>

我们将这个页面的服务器运行起来（端口为7000)

python -m http.server 7000

此时管理员访问一下这个页面

自动添加成功！！😱😱😱😱😱
在这里插入图片描述

这里演示是让管理员自动创建了一名

hr

，但实际上我们还可以进行账号转账，信息泄露等其他操作🤯。

四、解决办法

我们只要使用django自带
csrf 
处理即可，django在处理每一个页面都会传递一个
csrf_token
，在表单form中则需要添加
{% token %}
在页面渲染出来，这样客户端页面会将
csrf_token
带回服务器，服务端检查
token
，合法则则正常处理请求

修改原视图 — 删除

@csrf_exempt

@permission_required('auth.add_user')# 只允许拥有创建用户的权限的用户defcreate_hr_user(request):if request.method =='GET':return render(request,'create_hr_user.html',{})if request.method =='POST':
        username = request.POST.get('username')
        password = request.POST.get('password')

        hr_group = Group.objects.get(name='HR')
        user = User(is_superuser=False, username=username, is_staff=True, is_active=True)# hash 哈希加密密码（如果是明文会报错）
        user.set_password(password)
        user.save()# 添加一个群组对象
        user.groups.add(hr_group)

        messages.info(request,'成功添加用户hr!!!')return render(request,'create_hr_user.html')return render(request,'create_hr_user.html')

此时我们再次访问恶意页面（访问失败🎉🎉🎉）

在这里插入图片描述

**这是因为没有密钥

token

没有用作安全校验的

csrf_token

.**，服务在请求一个页面会在

request

的

head

头部存放

csrftokn值

，一般是放在

cookie

中，当页面响应中会在

response

中返回

cookie

此时服务器如果在

cookie

中找到所发送对应的

csrftoken

则会对其请求进行处理，否则访问失败

且之前用于演示所创建的表单模板也会无法访问
在这里插入图片描述
这是由于没有

{csrf_token%}

,添加代码即可访问

<formaction="/create_hr_user/"method="post"name="EvilForm">
        {#                                               required 表示必填                                     #}
        {% csrf_token %}
        First name <inputname="username"value="attacker"type="text"required/>
        First password <inputvalue="attacker123"type="password"name="password"required/>
        Second password <inputvalue="attacker123"type="password"name="retype_password"required/><inputtype="submit"value="提交"/></form>

五、SQL注入攻击漏洞

在这里插入图片描述
我们需要使用

map

的方法传参就可以避免这种漏洞, 这种漏洞与

xxs

漏洞是类似的（上一篇文章）

                    🤞到这里，如果还有什么疑问🤞
        🎩欢迎私信博主问题哦，博主会尽自己能力为你解答疑惑的！🎩
            🥳如果对你有帮助，你的赞是对博主最大的支持！！🥳

标签： django 安全 csrf

本文转载自: https://blog.csdn.net/weixin_66526635/article/details/125947530
版权归原作者 计算机魔术师 所有，如有侵权，请联系我们删除。

【Django | 安全防护】CSRF跨站伪请求和SQL注入攻击

文章目录

一、演示CSRF漏洞

二、环境准备

三、模拟黑客🐱‍👤

四、解决办法

五、SQL注入攻击漏洞

发表评论

“【Django | 安全防护】CSRF跨站伪请求和SQL注入攻击”的评论:

关于作者

overfit同步小助手

相关阅读

文章导航