csrf-蒲公英云

CSRF跨站请求伪造
   如何通过csrf校验
      <form action="" method="post">
         {% csrf_token %}
         <p>username:<input type="text" name="username"></p>
         <p>money:<input type="text" name="money"></p>
         <p>对方账户:<input type="text" name="others"></p>
         <input type="submit">
      </form>
      <input type="hidden" name="csrfmiddlewaretoken" value="HHxKItr7Z17sZxCAtybnOeV5ne5K3xnvkymENCupB5ylL8h8kWBIiklm9K10paxE">
   ajax如何通过csrf校验
      # 通过jQuery标签查找获取csrfinput框的键值对,手动加到data参数里面
   $('button').click(function () {
      $.ajax({
         url:'',
         type:'post',
         data:{'name':'jason','csrfmiddlewaretoken':$('[name=csrfmiddlewaretoken]').val()},
         success:function (data) {
            console.log(data)
         }
      })
   })
局部使用与局部禁用csrf
from django.views.decorators.csrf import csrf_exempt,csrf_protect
@csrf_exempt
def home(request):
   return HttpResponse('home')
@csrf_protect
def login(request):
   return HttpResponse('login')
#csrf是给用户返回的form表单页面，用户需要提交数据的页面，给他偷偷的筛了一个键值对
#给form表单页面，筛了一个input框，input框中name = csrf...等等，value是动态生成值
#也就是说，每次提交的时候，我先获取我给你筛的这个input框里的name和值到底给我的相不相等
#如果不相等，就把你forbidden掉，意味着你不是我网站出来的页面，相当于你这个页面是你自己写的页面
#写好视图函数之后，还要再起一个django，两个服务器，别人的页面跟你写的页面肯定是两个不同的服务器
#要写把scrf注掉
#将新起的django的端口号该一下，然后将我这个diango的路径复制过去
#  'django.middleware.csrf.CsrfViewMiddleware',
# {% scrf_token %} form表单加上这个就算在settings里面加上
# 'django.middleware.csrf.CsrfViewMiddleware',就不会报错了

1 #scrif
 2 def index(request):
 3     print(123)
 4     username = request.POST.get('username')
 5     money = request.POST.get('money')
 6     others = request.POST.get('others')
 7     print(request.POST.get('name'))
 8     print('%s 给 %s 转了%s 钱' %(username,money,others))
 9     return render(request, 'index.html',locals())
10 
11 
12 #这个网站，并不是整体都是要校验csrf的，有几个视图函数也能接受这个post请求，但是不需要
13 #接受这个csrf_token,就有一个装饰器就不需要校验到csrf_token了
14 
15 from django.views.decorators.csrf import csrf_exempt,csrf_protect
16 @csrf_exempt
17 def home(request):
18     return HttpResponse('home')  #一定要return一个HttpResponse对象
19 
20 
21 #需要csrf校验的函数
22 @csrf_protect
23 def login(request):
24     return HttpResponse('login')
25 
26 
27 #CBV
28 from django.utils.decorators import method_decorator
29 
30 #装饰csrf装饰器的时候，只有这两种写法
31 @method_decorator(csrf_exempt,name='dispatch')  #第一种
32 class Reg(View):
33     @method_decorator(csrf_exempt)  #第二种
34     def dispatch(self, request, *args, **kwargs):
35         res = super().dispatch(request,*args,**kwargs)
36         return res
37     def get(self,request):
38         return HttpResponse('get')
39 
40     def post(self,request):
41         return HttpResponse('post')

views.py

1 <!DOCTYPE html>
  2 <html lang="en">
  3 <head>
  4     <meta charset="UTF-8">
  5     <title>Title</title>
  6     <script src="https://cdn.bootcss.com/jquery/3.4.1/jquery.min.js"></script>
  7 
  8     <link href="https://cdn.bootcss.com/twitter-bootstrap/3.4.1/css/bootstrap.min.css" rel="stylesheet">
  9     <script src="https://cdn.bootcss.com/twitter-bootstrap/3.4.1/js/bootstrap.min.js"></script>
 10 
 11     <link href="https://cdn.bootcss.com/font-awesome/5.8.2/css/fontawesome.min.css" rel="stylesheet">
 12     <script src="https://cdn.bootcss.com/font-awesome/5.8.2/js/fontawesome.min.js"></script>
 13 
 14     <link href="https://cdn.bootcss.com/sweetalert/1.1.3/sweetalert.min.css" rel="stylesheet">
 15     <script src="https://cdn.bootcss.com/sweetalert/2.1.2/sweetalert.min.js"></script>
 16 </head>
 17 <body>
 18 {
     #<h1>hello</h1>#}
 19 <h1>正经网站</h1>
 20 <!--csrif-->
 21 {
     #<form action="" method="post">#}
 22 {
     #    {% csrf_token %}#}
 23 {
     #    <!--hidden隐藏 name取的名字csrf.. value是随机字符串，#}
 24 {
     #    这个随机字符串是每次请求页面都会动态刷新，也就意味着你下次提交的时候，#}
 25 {
     #    input里的值我后端可以拿到，拿到之后根据这个name拿到这个value,#}
 26 {
     #    然后比对以下这个value跟我之前那个value访问的一不一样，如果不一样就forbidden掉-->#}
 27 {
     #    <input type="text" hidden name="csrftoken" value="jdfverffsddkmcf">#}
 28 {
     #    <p>username:<input type="text" name="username"></p>#}
 29 {
     #    <p>password:<input type="text" name="money"></p>#}
 30 {
     #    <p>对方账号：<input type="text" name="others"></p>#}
 31 {
     #    <input type="submit">#}
 32 {
     #</form>#}
 33 {
     #<button id="1">ajaz请求</button>#}
 34 {
     #<script>#}
 35 {
     #    $('#1').click(function(){#}
 36 {
     #        $.ajax({#}
 37 {
     #            url:'',#}
 38 {
     #            type:'post',#}
 39 {
     #            data:{'name':'jason','csrfmiddlewaretoken': $('[name=csrfmiddlewaretoken]').val()},#}
 40 {
     #            success:function(data){#}
 41 {
     #                console.log(data) }#}
 42 {
     #        })#}
 43 {
     #    })#}
 44 {
     #</script>#}
 45 
 46 
 47 
 48 {
     #<!--没写 {% csrf_token %} 加装饰器的视图函数前端页面-->#}
 49 {
     #<form action="/home/" method="post">#}
 50 {
     #    <!--hidden隐藏 name取的名字csrf.. value是随机字符串，#}
 51 {
     #    这个随机字符串是每次请求页面都会动态刷新，也就意味着你下次提交的时候，#}
 52 {
     #    input里的值我后端可以拿到，拿到之后根据这个name拿到这个value,#}
 53 {
     #    然后比对以下这个value跟我之前那个value访问的一不一样，如果不一样就forbidden掉-->#}
 54 {
     #    <input type="text" hidden name="csrftoken" value="jdfverffsddkmcf">#}
 55 {
     #    <p>username:<input type="text" name="username"></p>#}
 56 {
     #    <p>password:<input type="text" name="money"></p>#}
 57 {
     #    <p>对方账号：<input type="text" name="others"></p>#}
 58 {
     #    <input type="submit">#}
 59 {
     #</form>#}
 60 {
     #<button id="1">ajaz请求</button>#}
 61 {
     #<script>#}
 62 {
     #    $('#1').click(function(){#}
 63 {
     #        $.ajax({#}
 64 {
     #            url:'',#}
 65 {
     #            type:'post',#}
 66 {
     #            data:{'name':'jason','csrfmiddlewaretoken': $('[name=csrfmiddlewaretoken]').val()},#}
 67 {
     #            success:function(data){#}
 68 {
     #                console.log(data) }#}
 69 {
     #        })#}
 70 {
     #    })#}
 71 {
     #</script>#}
 72 
 73 
 74 {
     #<!--没写 {% csrf_token %} 加装饰器的视图函数前端页面(scrf_protect)-->#}
 75 <form action="/login/" method="post">
 76     <!--hidden隐藏 name取的名字csrf.. value是随机字符串，
 77     这个随机字符串是每次请求页面都会动态刷新，也就意味着你下次提交的时候，
 78     input里的值我后端可以拿到，拿到之后根据这个name拿到这个value,
 79     然后比对以下这个value跟我之前那个value访问的一不一样，如果不一样就forbidden掉-->
 80     <input type="text" hidden name="csrftoken" value="jdfverffsddkmcf">
 81     <p>username:<input type="text" name="username"></p>
 82     <p>password:<input type="text" name="money"></p>
 83     <p>对方账号：<input type="text" name="others"></p>
 84     <input type="submit">
 85 </form>
 86 <button id="1">ajaz请求</button>
 87 <script>
 88     $('#1').click(function(){
 89         $.ajax({
 90             url:'',
 91             type:'post',
 92             data:{
     'name':'jason','csrfmiddlewaretoken': $('[name=csrfmiddlewaretoken]').val()},
 93             success:function(data){
 94                 console.log(data) }
 95         })
 96     })
 97 </script>
 98 
 99 
100 </body>
101 </html>

html

打开第二个服务器，将端口号进行修改

1 from django.shortcuts import render
2 
3 # Create your views here.
4 
5 def index(request):
6     return render(request ,'index.html')

Views.py

1 <!DOCTYPE html>
 2 <html lang="en">
 3 <head>
 4     <meta charset="UTF-8">
 5     <title>Title</title>
 6     <script src="https://cdn.bootcss.com/jquery/3.4.1/jquery.min.js"></script>
 7 
 8     <link href="https://cdn.bootcss.com/twitter-bootstrap/3.4.1/css/bootstrap.min.css" rel="stylesheet">
 9     <script src="https://cdn.bootcss.com/twitter-bootstrap/3.4.1/js/bootstrap.min.js"></script>
10 
11     <link href="https://cdn.bootcss.com/font-awesome/5.8.2/css/fontawesome.min.css" rel="stylesheet">
12     <script src="https://cdn.bootcss.com/font-awesome/5.8.2/js/fontawesome.min.js"></script>
13 
14     <link href="https://cdn.bootcss.com/sweetalert/1.1.3/sweetalert.min.css" rel="stylesheet">
15     <script src="https://cdn.bootcss.com/sweetalert/2.1.2/sweetalert.min.js"></script>
16 </head>
17 <body>
18 <h1>钓鱼网站</h1>
19 <form action="http://127.0.0.1:8000/index" method="post">
20     <p>username:<input type="text" name="username"></p>
21 
22     <p>money:<input type="text" name="money"></p>
23     <p>对方账号：<input type="text"></p>
24         <input type="text" name="others" value="jason" style="display: none">
25     <input type="submit">
26 </form>
27 
28 </body>
29 </html>