python攻击网站的方式_Python中Tornado防止跨站攻击的方法介绍

本篇文章给大家带来的内容是关于Python中Tornado防止跨站攻击的方法介绍，有一定的参考价值，有需要的朋友可以参考一下，希望对你有所帮助。

跨站请求伪造（Cross-site request forgery，CSRF 或XSRF）是一种对网站的恶意利用。通过CSRF，攻击者可以冒用用户的身份，在用户不知情的情况下执行恶意操作。

1、CSRF攻击原理

下图展示了CSRF的基本原理。其中Site1是存在CSRF漏洞的网站，而SIte2是存在攻击行为的恶意网站。

上图内容解析如下：

用户首先访问了存在CSRF漏洞网站Site1，成功登陆并获取了Cookie，此后，所有该用户对Site1的访问均会携带Site1的Cookie，因此被Site1认为是有效操作。

此时用户又访问了带有攻击行为的站点Site2，而Site2的返回页面中带有一个访问Site1进行恶意操作的连接，但却伪装成了合法内容，比如下面的超链接看上去是一个抽奖信息，实际上却是想Site1站点提交提款请求

或者：

settings={ "cookie_secret":"DONT_LEAK_SECRET", "xsrf_cookies":True } application=tornado.web.Application([ (r'/',MainHandler), ],**settings)

当tornado.web.Application需要初始化的参数过多时，可以像本例一样通过setting字典的形式传入命名参数

【2】在每个具有HTML表达的模板文件中，为所有表单添加xsrf_form_html()函数标签，比如：

{% module xsrf_form_html() %}

这里的{% module xsrf_form_html() %}起到了为表单添加隐藏元素以防止跨站请求的作用。

Tornado的安全Cookie支持和XSRF防范框架减轻了应用开发者的很多负担，没有他们，开发者需要思考很多防范的细节措施，因此Tornado内建的安全功能也非常有用。

阅读全文

1 个人已赞赞一个收藏 (0)打赏

您入群打赏务必备注QQ号

支付宝扫一扫赞助

微信钱包扫描赞助

分享到：

生成海报

评论 1

评论前必须登录！

#1

谢谢6

2周前 (11-08)

登录以回复