Python自动化运维 - Django（三）CSRF - Cookie&Session

CSRF攻击实例

三种策略原理

<form action="/login" method="post" >
{% csrf_token %} #渲染csrf_token
<div>
<label for="user">用户名：</label>
<input type="text" id="user" name="user" placeholder='Username'>
</div>
<div>
<label for="passwd">密码：</label>
<input type="password" id="passwd" name="passwd" placeholder='Password'>
</div>
<input type="submit" value="登陆">
</form>

<form action="/file" method="post" enctype="multipart/form-data">
<input type="hidden" name="csrfmiddlewaretoken" value="8HElv24C9ajJZUE8gX3Cs9e0iIaXgX9iMvIfXZsKthjazqwnAvtrEvS84QC2pEik"> # 渲染的input标签
<div>
<label for="user">用户名：</label>
<input type="text" id="user" name="user" placeholder='Username'>
</div>
<div>
<label for="passwd">密码：</label>
<input type="password" id="passwd" name="passwd" placeholder='Password'>
</div>
<input type="submit" value="登陆">
</form>

$(function(){
$('#btn').click(function () {
$.ajax({
url:'/login',
type:'POST',
data:{'csrfmiddlewaretoken':$("input[name='csrfmiddlewaretoken']").val(),......}, // name属性选择器获取csrftoken
success:function () {
alert(123)
}
})
})
})

源码中csrfmiddlewaretoken的名称定义

$(function(){
$('#btn').click(function () {
$.ajax({
url:'/index',
type:'post',
headers:{'X-CSRFtoken':$.cookie('csrftoken')}, // 构建请求头
data:{'user':$('#user').val(),'passwd':$('#passwd').val()},
success:function () {
alert(123)
}
})
})
})

# 1、倒入 csrf中间件查看源码，获取的到底是什么信息
from django.middleware.csrf import CsrfViewMiddleware# 2、源码中关于header中的csrf说明，295行(django 1.11)
request_csrf_token = ""
if request.method == "POST":
try:
request_csrf_token = request.POST.get('csrfmiddlewaretoken', '')
except IOError:
pass
if request_csrf_token == "":
request_csrf_token = request.META.get(settings.CSRF_HEADER_NAME, '')
# 如果用户提交的数据中没有request_csrf_token，那么尝试从meta中获取数据(包含用户提交的所有数据也包括请求头，从中获取settings.CSRF_HEADER_NAME的值用作request_csrf_token)# 3、倒入settings查找csrftoken的真正名称
from django.conf import settings
print(settings.CSRF_HEADER_NAME) # 结果为：HTTP_X_CSRFTOKEN# 4、当我们利用ajax定制 request headers时，django会为我们在我们定制的key前面添加HTTP_来进行标识，
# 所以我们实际上传递的key应该为X_CSRFTOKEN,
# 又因为提交数据时不能提交包含下划线的key，会被认为是非法数据，所以，这里的名称为X-CSRFTOKEN
# 官方建议为：X-CSRFtoken

关于header中的不能使用下划线的说明

$(function(){ // 利用ajaxSetup进行全局配置
$.ajaxSetup({
beforeSend:function (xhr,settings) { // 在发送ajax请求之前，要执行的函数
xhr.setRequestHeader('X-CSRFtoken',$.cookie('csrftoken')) // 定制请求头，添加csrftoken
}
}) // 其他ajax请求，就无需再定制header发送csrf了。
$('#btn').click(function () {
$.ajax({
url:'/index',
type:'post',
data:{'user':$('#user').val(),'passwd':$('#passwd').val()},
success:function () {
alert(123)
}
})
})
})

判断HTTP请求方式。针对POST请求提交CSRFtoken

from django.shortcuts import render,HttpResponse,redirect
from django.views.decorators.csrf import csrf_exempt,csrf_protect # 导入csrf装饰器@csrf_exempt # 设置该函数取消csrf认证(settings.py中开启了csrf认证)
def index(request): error_msg = '' if request.method == 'POST': user = request.POST.get('user')
passwd = request.POST.get('passwd')
if user == 'daxin' and passwd == '123456' or user == 'dachenzi' and passwd == '123456':
request.session['username'] = 'daxin'
request.session['is_login'] = True
return redirect('/page')
else:
error_msg = '用户名或密码错误' return render(request,'index.html',{'error_msg':error_msg,'test':{'name':'daxin','age':20}})

# ------------------- views.py -------------------def index(request): if request.method == 'GET': username = request.COOKIES.get('user') # 获取用户请求中携带的cookies return render(request,'index.html',{'username':username})def login(request): if request.method == 'GET': return render(request,'login.html') if request.method == 'POST':
u = request.POST.get('username')
p = request.POST.get('password') if u == 'daxin' and p == '123123': req = redirect('/index')
req.set_cookie('user',u) # 设置cookie return req else: return render(request,'login.html')

# 用变量接受返回用户的信息
response = redirect('/index')
response = render(request,'index.html')
response = Httpresponse('index')# 设置cookie
response.set_cookie('key','value')# 获取cookie
request.COOKIE.get('key')

• key=''：键
• value=''：值
• max_age=None：过多少时间超时，单位是秒(默认是临时生效，重新启动浏览器失效)
• expires=None：在某个时间后失效，是一个具体的时间。
• path='/'：Cookie生效的路径，/ 表示根路径(默认)，根路径的cookie可以被当前站点的任何url的页面访问
• domain=None：Cookie生效的域名
• secure=False：https传输
• httponly=False：只能http协议传输，无法被JavaScript获取（不是绝对，底层抓包可以获取到也可以被覆盖）

req.set_signed_cookie('name','abc.123',salt='abc.123') # 设置签名的cookie
request.get_signed_cookie('name',salt='abc.123',default='null') # 获取签名的cookie

# -------------------- html --------------------<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>Title</title>
<style>
.page {
text-decoration: none;
margin-right: 3px;
} .active {
background-color: saddlebrown;
color: white;
}
</style>
</head>
<body>
<!-- 模拟数据显示 -->
<ul>
{% for item in data %}
<li>{{ item }}</li>
{% endfor %}
</ul><div>
<select name="count" id='count' onchange="pageChange(this)">
<option value="10">10</option>
<option value="30">30</option>
<option value="50">50</option>
<option value="100">50</option>
</select>
</div>
{{ temp_list | safe }}<script src="/static/jquery-3.3.1.min.js"></script>
<script src="/static/jquery.cookie.js"></script>
<script>
$(function () {
var val = $.cookie('page_size');
if (val) {
$('#count').val(val); // 页面加载完毕，赋值页面数量
} });
function pageChange(ths) {
var val = $(ths).val(); // 获取用户设置的页面条目数
$.cookie('page_size',val); // 写到cookie中(jquery.cookie)，额外的属性可以直接根{'path':'/',......}
location.reload()
}
</script>
</body>
</html># -------------------- views --------------------
from utils import paginationdef page(request): if request.method == 'GET':
page_size = request.COOKIES.get('page_size') # 获取page_size
current_page = int(request.GET.get('page', 1))
counts = len(all_data)
if page_size: # 如果用户设置了page_size，修改生成的html
page_obj = pagination.Page(current_page,counts,per_page_count=int(page_size))
else:
page_obj = pagination.Page(current_page, counts)
data = all_data[page_obj.start:page_obj.end]
temp_list =page_obj.page_str('/page/') return render(request,'page.html',{'data':data,'current_page':current_page,'temp_list':temp_list})

def auth(func):
def index (request,*args,**kwargs):
if not request.COOKIES.get('username'): # 判断cookie中是否存在我们指定的key
return redirect('/login') # 不存在则跳转回login页面
return func(request,*args,**kwargs)
return index

@auth
def index(request):
... ...

req = redirect('/index')
req.set_signed_cookie('name','abc.123',salt='abc.123',max_age=10,path='/')
req['user'] = 'abc' # 添加响应头数据
return req

服务端设置session：
1、随机生成字符串作为session_id。
2、把session_id作为cookie返回给用户。
3、在某个地方开辟空间存储该session_id。
4、将用户相关信息存入session_id对应的字典或者其他数据类型中。服务端获取session：
1、获取cookie中的session_id
2、根据session_id获取用户相关的数据

# 设置session
request.session['username'] = u # 仅仅这一步就完成了上面4步的功能
request.session['is_login'] = True# 获取session
request.session['is_login']
request.session.get('is_login',None)
request.session.setdefult('k1',123)# 注销时清除用户对应session信息
request.session.clear() # 不会删除数据库中的sessionid,会修改对应id的数据(可能是做了标记，下次登陆会复用这个sessionid）
request.session.delete(request.session.session_key) # 会删除数据库中的sessionid
del request.session.get('username') # 删除session中的某个key对应的值# 所有 键、值、键值对
request.session.keys()
request.session.values()
request.session.items()
request.session.iterkeys()
request.session.itervalues()
request.session.iteritems()# 用户session的随机字符串
request.session.session_key# 将所有session失效日期小于当前日期的数据删除
request.session.clear_expired()# 检查 用户的随机字符串 在数据库中是否存在
request.session.exists('session_key')# 删除当前用户的所有Session数据
request.session.delete('session_key')# 清空所有session
request.session.clear()# django中的session默认有效期为两周，单独设置某个session的超时时间需要进行如下修改
request.session.set_expiry(value)
# 如果value是个整数(或者是个乘法表达式 60 * 60)，session会在些秒数后失效。
# 如果value是个datatime或timedelta，session就会在这个时间后失效。
# 如果value是0,用户关闭浏览器session就会失效。
# 如果value是None,session会依赖全局session失效策略。

def auth(func):
def inner(request,*args,**kwargs):
if request.session.get('is_login',None):
return func(request,*args,**kwargs)
else:
return redirect('/login/') return inner@auth
def index(request): if request.method == 'GET':
return render(request,'index.html',{'username':request.session['username']})def login(request): if request.method == 'GET': return render(request,'login.html') if request.method == 'POST':
u = request.POST.get('username')
p = request.POST.get('password') if u == 'daxin' and p == '123123':
request.session['username'] = u
request.session['is_login'] = True
return redirect('/index/')
else:
return render(request,'login.html')

python3 manage.py makemigrations
python3 manage.py migrate

SESSION_COOKIE_NAME ＝ "sessionid" # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串
SESSION_COOKIE_PATH ＝ "/" # Session的cookie保存的路径
SESSION_COOKIE_DOMAIN = None # Session的cookie保存的域名
SESSION_COOKIE_SECURE = False # 是否Https传输cookie
SESSION_COOKIE_HTTPONLY = True # 是否Session的cookie只支持http传输
SESSION_COOKIE_AGE = 1209600 # Session的cookie失效日期（2周）
SESSION_EXPIRE_AT_BROWSER_CLOSE = False # 是否关闭浏览器使得Session过期
SESSION_SAVE_EVERY_REQUEST = False # 是否每次请求都保存Session，默认修改之后才保存,建议修改为True

SESSION_ENGINE = 'django.contrib.sessions.backends.db' # 默认配置，表示存放在数据库中

SESSION_ENGINE = 'django.contrib.sessions.backends.cache' # 使用cache进行存储
SESSION_CACHE_ALIAS = 'default' # 使用的缓存别名(默认内存缓存，也可以是memcache），此处别名依赖缓存的设置

CACHES = {
'default': { # 这里就表示cache的别名
'BACKEND': 'django.core.cache.backends.memcached.MemcachedCache',
'LOCATION': [
'172.19.26.240:11211',
'172.19.26.242:11211',
]
}
}

'django.contrib.sessions.backends.file' # 引擎
SESSION_FILE_PATH = None # 缓存文件路径，如果为None，则使用tempfile模块获取一个临时地址tempfile.gettempdir()
# 如：/var/folders/d3/j9tj0gz93dg06bmwxmhh6_xm0000gn/T