Django之XSS攻击

Django之XSS攻击

　　XSS是什么：XSS是跨站脚本攻击。

　　XSS可以获取用户的信息，比如登录凭证Cookie，那样就可以登录用户的账号，但是在django中，XSS 是默认阻止的。因为在django中，a标签是字符串类型的。

　　比如在评论中提叫script的代码，会以字符串的形式显示出来。

　　views.py

msg = []

def comment(request):
    if request.method =="GET":
        return render(request,"comment.html")
    else:
        v = request.POST.get("content")
        msg.append(v)
        return render(request,"comment.html")

def index(request):
    return render(request,"index.html",{"msg":msg})

　　comment.html

<body>
    <form action="/comment/" method="post">
        <input type="text" name="content">
        <input type="submit" value="submit">
    </form>
</body>
</html>

　　index.html

<body>

    <h1>评论</h1>
    {% for foo in msg %}
        <div>{{ foo }}</div>
    {% endfor %}

</body>
</html>

结果：

　　但XSS也是可以生效的，那就是使其这个提交的评论是safe的。

　　index.html

<body>
    <h1>评论</h1>
    {% for foo in msg %}
        <div>{{ foo|safe }}</div>
    {% endfor %}

</body>
</html>

　　这样的话，只要在前端提交一个script的代码，那么基本上每次访问index页面都会有alert提示。

　　这样的话，那个script会以代码的形式注入到页面中，并运行。

　　但是如何不写safe，也可以阻止XSS，也既是要在提交的数据中进行筛选。

　　views.py

msg = []

def comment(request):
    if request.method =="GET":
        return render(request,"comment.html")
    else:
        v = request.POST.get("content")
        if "script" in v:
            return render(request,"comment",{"error":"禁止XSS注入,存在安全隐患"})
        else:
            msg.append(v)
            return render(request,"comment.html")

comment.html

<body>
    <form action="/comment/" method="post">
        <input type="text" name="content">
        <input type="submit" value="submit">{{ error }}
    </form>
</body>

导入from django.utils.safestring import mark_safe 也是可以的

　　用mark_safe也是可以阻止的。

　　总结：

　　　　阻止XSS的两种方式：

　　　　　　　　一、在前端模板里标记safe

　　　　　　　　二、在后端代码中使用模块的方法mark_safe

------------ END -----------