CSRF
全拼爲Cross Site Request Forgery
,譯爲跨站請求僞造。CSRF
指攻擊者盜用了你的身份,以你的名義發送惡意請求。
那麼下面咱們用一個代碼案例進行演示一下:防止CSRF攻擊的代碼示例(若是想測試沒有CSRF預防的狀況,能夠在代碼裏直接更改便可:即去掉轉帳視圖crsf_token驗證功能便可)html
CRSF_test.py(視圖頁面)flask
from flask import Flask, render_template, make_response from flask import redirect from flask import request from flask import url_for import os,base64 app = Flask(__name__) # 生成 csrf_token 函數 def generate_csrf(): return bytes.decode(base64.b64encode(os.urandom(48))) @app.route('/login', methods=["POST", "GET"]) def login(): if request.method == "POST": # 取到表單中提交上來的參數 username = request.form.get("username") password = request.form.get("password") if not all([username, password]): print('用戶名或密碼錯誤') else: print(username, password) if username == 'laowang' and password == '1234': # 狀態保持,設置用戶名到cookie中表示登陸成功 response = redirect(url_for('transfer')) response.set_cookie('username', username) return response else: print('密碼錯誤') return render_template('login_test.html') @app.route('/transfer', methods=["POST", "GET"]) def transfer(): # 從cookie中取到用戶名 username = request.cookies.get('username', None) # 若是沒有取到,表明沒有登陸 if not username: return redirect(url_for('login')) if request.method == "POST": to_account = request.form.get("to_account") money = request.form.get("money") # 取出表單中的 csrf_token form_csrf_token = request.form.get("csrf_token") # 取出 cookie 中的 csrf_token cookie_csrf_token = request.cookies.get("csrf_token") # 進行對比 if cookie_csrf_token != form_csrf_token: return 'token校驗失敗,非法操做' print('僞裝執行轉操做,將當前登陸用戶的錢轉帳到指定帳戶') return '轉帳 %s 元到 %s 成功' % (money, to_account) # 渲染轉換頁面 # 生成 csrf_token 的值 csrf_token = generate_csrf() # 渲染轉換頁面,傳入 csrf_token 到模板中 response = make_response(render_template('transfer_test.html', csrf_token=csrf_token)) # 設置csrf_token到cookie中,用於提交校驗 response.set_cookie('csrf_token', csrf_token) return response if __name__ == '__main__': app.run(debug=True, port=9000)
login.test.py(登陸模板頁面)後端
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>登陸</title> </head> <body> <h1>我是網站A,登陸頁面</h1> <form method="post"> <label>用戶名:</label><input type="text" name="username" placeholder="請輸入用戶名"><br/> <label>密碼:</label><input type="password" name="password" placeholder="請輸入密碼"><br/> <input type="submit" value="登陸"> </form> </body> </html>
transfer_test.py(轉帳模板頁面)安全
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>轉帳</title> </head> <body> <h1>我是網站A,轉帳頁面</h1> <form method="post"> <input type="hidden" name="csrf_token" value="{{ csrf_token }}"> <label>帳戶:</label><input type="text" name="to_account" placeholder="請輸入要轉帳的帳戶"><br/> <label>金額:</label><input type="number" name="money" placeholder="請輸入轉帳金額"><br/> <input type="submit" value="轉帳"> </form> </body> </html>
下面是進行CSRF攻擊的惡意網站(俗稱釣魚網站):hack_test.py(視圖頁)服務器
from flask import Flask from flask import render_template app = Flask(__name__) @app.route('/hongbao') def index(): return render_template('hack_test.html') if __name__ == '__main__': app.run(debug=True, port=8000)
hack_test.py(模板頁)cookie
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> </head> <body> <h1>我是網站B</h1> <form method="post" action="http://127.0.0.1:9000/transfer"> <input type="hidden" name="to_account" value="999999"> <input type="hidden" name="money" value="190000" hidden> <input type="submit" value="點擊領取優惠券"> </form> </body> </html>
以上代碼親測有效,若有問題或者建議,歡迎在下面留言☺☺☺app