Django之XSS攻击 - HelloWorld开发者社区

Django之XSS攻击

XSS是什么：XSS是跨站脚本攻击。

XSS可以获取用户的信息，比如登录凭证Cookie，那样就可以登录用户的账号，但是在django中，XSS 是默认阻止的。因为在django中，a标签是字符串类型的。

比如在评论中提叫script的代码，会以字符串的形式显示出来。

views.py

msg = []

def comment(request):
    if request.method =="GET":
        return render(request,"comment.html")
    else:
        v = request.POST.get("content")
        msg.append(v)
        return render(request,"comment.html")

def index(request):
    return render(request,"index.html",{"msg":msg})

comment.html

<body>
    <form action="/comment/" method="post">
        <input type="text" name="content">
        <input type="submit" value="submit">
    </form>
</body>
</html>

index.html

<body>

    <h1>评论</h1>
    {% for foo in msg %}
        <div>{{ foo }}</div>
    {% endfor %}

</body>
</html>

结果：

Django之XSS攻击

　　但XSS也是可以生效的，那就是使其这个提交的评论是safe的。

　　index.html

<body>
    <h1>评论</h1>
    {% for foo in msg %}
        <div>{{ foo|safe }}</div>
    {% endfor %}

</body>
</html>

　　这样的话，只要在前端提交一个script的代码，那么基本上每次访问index页面都会有alert提示。

Django之XSS攻击

　　这样的话，那个script会以代码的形式注入到页面中，并运行。

Django之XSS攻击

　　但是如何不写safe，也可以阻止XSS，也既是要在提交的数据中进行筛选。

　　views.py

msg = []

def comment(request):
    if request.method =="GET":
        return render(request,"comment.html")
    else:
        v = request.POST.get("content")
        if "script" in v:
            return render(request,"comment",{"error":"禁止XSS注入,存在安全隐患"})
        else:
            msg.append(v)
            return render(request,"comment.html")

comment.html

<body>    <form action="/comment/" method="post">
        <input type="text" name="content">
        <input type="submit" value="submit">{{ error }}
    </form></body>

导入from django.utils.safestring import mark_safe 也是可以的

Django之XSS攻击