kindedit編輯器和xxs攻擊防禦（BeautifulSoup）的簡單使用

時間 2019-11-10

標籤 kindedit 編輯器 xxs 攻擊防禦 beautifulsoup 簡單使用欄目系統網絡简体版

原文原文鏈接

1、kindedit編輯器html

就是上面這樣的編輯輸入文本的一個編輯器前端

這也是一個插件。那麼怎麼用呢？python

一、下載：百度kindeditjson

二、引入：安全

    <script src="/static/kindeditor/kindeditor-all.js"></script>

三、看官方提供的文檔app

在addarticle.html中xss

    <script>
        {#        KindEditor編輯器的使用#}
        KindEditor.ready(function (K) {
            window.editor = K.create('#id_content', {
                {#                    width:"1030px"#}
                width: "90%",
                height: "500px",
                resizeType: 0,//編輯器不拉伸
                uploadJson: "/uploadFile/",  //上傳圖片路徑
                {#                    items:['preview', 'print', 'template', 'code', 'cut', 'copy', 'paste', 'plainpaste', 'wordpaste', '|', 'justifyleft', 'justifycenter', 'justifyright', 'justifyfull', 'insertorderedlist', 'insertunorderedlist', 'indent', 'outdent', 'subscript',]#}
                //items:你能夠篩選你本身想要的
                extraFileUploadParams: {     #解決forbidden
                    csrfmiddlewaretoken: $("[name='csrfmiddlewaretoken']").val(),
                }
            });
        });
    </script>

當你把編輯器插入好的時候，你看似均可以設置大小，字體變粗等。。可是當你上傳圖片的時候就會想下面同樣編輯器

這時候就須要 uploadJson: "/uploadFile/", 這個參數了。字體

url.pyurl

 url(r'^uploadFile/$', views.uploadFile),

views.py

def uploadFile(request):
    '''上傳圖片路徑'''
    print(request.path)  #返回的是當前請求的路徑
    print(request.FILES)  #<MultiValueDict: {'imgFile': [<InMemoryUploadedFile: 44643.gif (image/gif)>]}>
    file_obj = request.FILES.get("imgFile")  #獲得用戶上傳的文件對象
    filename = file_obj.name  #那到文件的文件名
    path = os.path.join(settings.MEDIA_ROOT,"upload_article_img",filename) #拼接一個路徑吧文件保存進去，通常上傳文件的路徑保存在media中
    print("======",path)
    with open(path,"wb") as f:#吧文件保存在本地      
        for line in file_obj:     #也能夠for i in chunks()   不是一行一行的讀，而是有具體的大小64*2**10
            f.write(line)
　　   
    response = {
        "error":0,
        "url":"/media/upload_article_img/"+filename+"/"   #前端圖片文件預覽
    }

    return HttpResponse(json.dumps(response))   #須要注意的是上傳文件返回的是一個json字符串

2、XSS攻擊防禦：

BeautifulSoup：是python的一個庫，查你想要的數據的，可是隻是針對標籤字符串。主要用於從網頁爬取數據

一、首先須要知道的一些基礎知識

<html>
 <head>
  <title>
   The Dormouse's story
  </title>
 </head>
 <body>
  <p class="title">
   <b>
    The Dormouse's story
   </b>
  </p>
  <div id="d1" class="d1">
    <b>
    The Dormouse's story2
    </b></div>
  <p class="story">
   Once upon a time there were three little sisters; and their names were
   <a class="sister0" href="http://example.com/elsie" id="link1">
    Elsie
   </a>
   ,
   <a class="sister1" href="http://example.com/lacie" id="link2">
    Lacie
   </a>
   and
   <a class="sister2" href="http://example.com/tillie" id="link3">
    Tillie
   </a>
   ;
and they lived at the bottom of a well.
  </p>
   <script>alert(1234)</script>
  <p class="story sister2">
   ...
  </p>
 </body>
</html>
"""
# 第一步:實例化對象
from bs4 import BeautifulSoup
soup = BeautifulSoup(html_doc,"html.parser")
# 第二步：美化
print(soup.prettify())
# 第三步:查找標籤
print(soup.a)  #只能找到符合條件的第一個標籤
print(soup.find("a")) #只能找到符合條件的第一個標籤
print(soup.find_all("a"))  #找到全部的a標籤
print(soup.a["class"])  #找到a標籤的class屬性
print(soup.find_all(name="a"))#找全部標籤名是a標籤的
print(soup.find_all(attrs={"class":"sister1"}))#找屬性是class=sister1的
print(soup.find_all(name="a",attrs={"class":"sister1"}))#找a標籤而且屬性是class=sister1的

# ===========================
for ele_a in soup.find_all("a"):
    print(ele_a.attrs)  #找出a標籤的全部的屬性
    print(ele_a["href"])  #找出全部的a標籤的href屬性
    print(ele_a["class"])  #找出全部的a標籤的class屬性

for ele_a in soup.find_all("a"):
    print(ele_a.attrs)  #找出a標籤的全部屬性
    del ele_a["class"]  #刪除a標籤的class屬性
#
for ele_a in soup.find_all("a"):
    print(ele_a)  #找出a標籤


for ele in soup.find_all():
    if ele.attrs:
        '''若是有屬性'''
        if ele.attrs.get("class"):
            '''若是獲得class屬性'''
            print(ele.attrs)
            del ele["class"]
print(soup)


for ele_a in soup.find_all("script"):    #soup是整個文檔對象，循環整個文檔的全部的script標籤
    print(ele_a.string)  #全部a標籤的文本
    print(ele_a.text)    #全部a標籤的文本
    ele_a.string.replace_with("//別瞎玩")  #替換a標籤的文本
print(soup)

四個對象：

　　一、comment對象：註釋對象

　　二、Tag標籤對象：至關於html中的一個標籤對象

　　三、BeautifulSoup對象：至關於整個文檔對象（Dom對象）

　　四、Navigablefetry文本對象

下面咱們來具體應用一下：xss攻擊防禦。吧一些不安全的給刪除或者替換了

def filter_xss(html_str):
    valid_tag_list = ["p", "div", "a", "img", "html", "body", "br", "strong", "b"]    #有效標籤列表

    valid_dict = {"img":["src","alt"],"p": ["id", "class"], "div": ["id", "class"]}    #有效屬性列表

    from bs4 import BeautifulSoup

    soup = BeautifulSoup(html_str, "html.parser")  # soup  ----->  document

    ######### 改爲dict
    for ele in soup.find_all():
        # 過濾非法標籤
        if ele.name not in valid_dict:
            ele.decompose()
        # 過濾非法屬性

        else:
            attrs = ele.attrs  # p {"id":12,"class":"d1","egon":"dog"}
            l = []
            for k in attrs:
                if k not in valid_dict[ele.name]:
                    l.append(k)

            for i in l:
                del attrs[i]

    print(soup)

    return soup.decode()

相關標籤/搜索

每日一句

每一个你不满意的现在，都有一个你没有努力的曾经。