【Django网络安全】如何正确防护CSRF跨站点请求伪造_drf csrf

解佳思提

于 2024-04-28 20:31:22 发布

阅读量722

点赞数 22

分类专栏：程序员文章标签： django web安全 csrf

本文链接：https://blog.csdn.net/2301_77033672/article/details/138290353

版权

程序员专栏收录该内容

223 篇文章 1 订阅

订阅专栏

二、CSRF攻击的防御手段
- 1.验证 HTTP Referer 字段
  - 2.请求地址添加token并验证
三、Django的CSRF防御解析
- 1.CSRF防护的过程
四、前后端不分离场景的正确防御
- 1.django模板中form表单提交
  - 2.django模板中ajax提交
五、前后端分离场景的正确防御
- 1.django提供接口
  - 2.现在所有函数都应该去除csrf装饰器
  - 3.vue获取csrftoken添加至请求
六、错误：请求中无cookie参数
总结

前言

CSRF（Cross-site request forgery），中文名跨站点请求伪造。当恶意网站包含一个链接、一个表单按钮或一些javascript，使用登录用户在浏览器中的凭据，打算恶意访问您的网站并执行某些操作时，就会发生这种攻击。还包括一种相关的攻击类型“登录CSRF”，即攻击站点诱使用户的浏览器使用他人的凭据登录站点。
XSS和CSRF正好相反，XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。直接的说就是我们需要保护POST、PUT和DELETE请求。
向网友借个图
在这里插入图片描述

一、CSRF攻击场景

对于用户的的所有操作，除了get查询，其他请求都需要保护，包括POST、PUT和DELETE。

发送邮件
修改账户信息
资金转账
盗取用户隐私数据
网站被上传网马
作为其他攻击方式的辅助攻击（比如xss）
传播CSRF蠕虫（见下文中的YouTube CSRF漏洞）
等等

二、CSRF攻击的防御手段

1.验证 HTTP Referer 字段

这种方式理论上可行，实际情况是Referer可以被伪造。

2.请求地址添加token并验证

django的验证方式是csrftoken验证。实现的主要是长cookie中csrftoken和表单中的csrfmiddlewaretoken是否为同一加密编码来源来实现csrf防御。csrftoken和csrfmiddlewaretoken这两个参数在接下来是我们关注的重点。

三、Django的CSRF防御解析

django的csrf防御是通过中间价来执行，默认是开启状态。位置是django项目的settings文件。

MIDDLEWARE = [
    'django.middleware.security.SecurityMiddleware',
    'django.contrib.sessions.middleware.SessionMiddleware',
    'django.middleware.common.CommonMiddleware',
    'django.middleware.csrf.CsrfViewMiddleware',  # csrf防御
    'django.contrib.auth.middleware.AuthenticationMiddleware',
    'django.contrib.messages.middleware.MessageMiddleware',
    'django.middleware.clickjacking.XFrameOptionsMiddleware',
    'utils.middleware.LogMiddleware.OpLog',  # 访问记录
]

1.CSRF防护的过程

CsrfViewMiddleware中间件使用的情况下，通过中间件的process_request方法获取请求cookie中的csrftoken，通过process_view获取post、put、delete请求cookie中的csrftoken和表单中的csrfmiddlewaretoken并进行校验（不通过就是403），通过process_response设置cookie的csrftoken参数（需要登录）。

2.cookie中的csrftoken

这里我都是用xadmin后端来验证的，也可以使用admin后端。首先看下get请求中的cookie中csrftoken参数。
在这里插入图片描述

我们再来看下post请求cookie中的csrftoken参数和表单中的csrfmiddlewaretoken参数。

3.session中的csrftoken

在第1部分中我们看到请求的cookie中是存在csrftoken参数的，而且这个参数时长是365天的长cookie。csrftoken其实是每次用户登录时生成的csrftoken，如果用户不注销或登出（django的logout方法），这个参数不会改变，并且每次重新登录时刷新csrftoken。
我们知道cookie时保留在客户端浏览器上的，浏览器是无法长久保留cookie的，可能因为客户端种种问题而丢失（浏览器崩溃、重装、更换浏览器等）。这里就衍生出了将csrftoken保存至sessions，通过服务器来保存csrftoken，并通过后端来验证csrftoken。
具体操作是需要在django的settings中修改配置，使cookie保存至sessions。

CSRF_USE_SESSIONS=True # 在用户会话中而不是在cookie中存储CSRF令牌,实际意义不大。

4.html中的csrftoken

在第1部分中我们看到了表单中的csrfmiddlewaretoken参数，在django的使用中，我们会在表单中使用csrftoken

<form method="post">{% csrf_token %} </form>

表单中的csrf_token 实际上就是csrfmiddlewaretoken。
在这里插入图片描述

5.装饰器中的csrf函数

我们经常看到很多教程在遇到403报错时，会在django后端使用csrf_exempt装饰器。一般都是在def方法中使用@csrf_exempt，在class类方法中使用@method_decorator(csrf_exempt, name=‘dispatch’)。
csrf_exempt的真正原理是改变csrf_exempt状态为True,在CsrfViewMiddleware中间件的process_view方法中直接跳过csrftoken和csrfmiddlewaretoken的加密校验。

四、前后端不分离场景的正确防御

在django前后端不分离项目中，django通过render方法实现了在表单中生成CsrfViewMiddleware参数。

1.django模板中form表单提交

submit提交

	<form method="post">{% csrf_token %} </form>

2.django模板中ajax提交

前端共有三种方式通过验证，示例如下：

方式一：

function getCookie(name) {
    let cookieValue = null;
    if (document.cookie && document.cookie !== '') {
        const cookies = document.cookie.split(';');
        for (let i = 0; i < cookies.length; i++) {
            const cookie = cookies[i].trim();
            // Does this cookie string begin with the name we want?
            if (cookie.substring(0, name.length + 1) === (name + '=')) {
                cookieValue = decodeURIComponent(cookie.substring(name.length + 1));
                break;
            }
        }
    }
    return cookieValue;
}
const csrftoken = getCookie('csrftoken');

方式二：

# 也可以通过JavaScript Cookie获得。
const csrftoken = Cookies.get('csrftoken');

方式三：

{% csrf_token %}   # 在HTML中包含CSRF令牌
<script>
	const csrftoken = document.querySelector('[name=csrfmiddlewaretoken]').value;
</script>

给大家的福利

零基础入门

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

在这里插入图片描述

因篇幅有限，仅展示部分资料

网络安全面试题

绿盟护网行动

还有大家最喜欢的黑客技术

网络安全源码合集+工具包

所有资料共282G，朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

解佳思提

关注

22
点赞
踩
28

收藏

觉得还不错? 一键收藏
0
评论
【Django网络安全】如何正确防护CSRF跨站点请求伪造_drf csrf

CSRF（Cross-site request forgery），中文名跨站点请求伪造。当恶意网站包含一个链接、一个表单按钮或一些javascript，使用登录用户在浏览器中的凭据，打算恶意访问您的网站并执行某些操作时，就会发生这种攻击。还包括一种相关的攻击类型“登录CSRF”，即攻击站点诱使用户的浏览器使用他人的凭据登录站点。XSS和CSRF正好相反，XSS 利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。直接的说就是我们需要保护POST、PUT和DELETE请求。向。
复制链接

扫一扫