为何需要建立DevSecOps？1.1应用软件安全风险的影响面对当前万物智能互联、数字经济高速发展的大环境下，应用软件安全对于推动我国数字经济发展、维护社会稳定及国家安全都将起着至关重要的地位和作用。据Gartner报告显示：超过80%的网络***都发生在应用层，所披露的漏洞70%以上与应用安全有关，特别是SQL注入、XSS、CSRF、目录遍历等漏洞，所以应用安全将是安全保障的重中之重。1.2安全需
分类：
其他好文 时间：
2020-02-28 09:15:52
阅读次数：
59
利用场景：后台存在添加管理员的功能，如下： 进行抓包观察，发现成功抓包 那么为了防止类似的CSRF攻击的话，肯定需要进行防御措施： 1、验证请求是否token合法 2、判断请求的来源是否合法 token验证： 重新进行抓包，如下，发现添加成功 如果删除token的话再次测试，添加失败 判断请求的来源 ...
分类：
其他好文 时间：
2020-02-27 20:51:46
阅读次数：
62
1.在form表单中，添加{% csrf_token %}会解决通过让render返回页面时报错问题<input type="hidden" name="csrfmiddlewaretoken" value="lyETYYictPlfgqmUt3GpLuXu1yIyFFfFgH2imWUDgesgC ...
分类：
其他好文 时间：
2020-02-27 16:06:07
阅读次数：
62
XSS跨站脚本攻击XSS：中文名称跨站脚本攻击，通常出现在搜索框、留言板、评论区等地方 分类：反射性、存储型、DOM型 攻击方式：构造恶意链接，诱骗用户点击盗取用户的cookie信息 反射性XSS： 通常这一类xss危害较低，对网站没有什么严重的影响，具体表现在用户在搜索框输入xss语句返回弹框，仅 ...
分类：
其他好文 时间：
2020-02-27 00:43:06
阅读次数：
72
一、前言 ? 我们知道drf的APIView类的as_view直接对原生django的csrf进行了禁用，是什么让drf有如此底气？从之前对drf的源码分析可以看到，三条语句。 这就是drf的三大认证。 二、用户认证 1.drf的用户认证 ? 我们的某些接口需要对用户进行辨别，那么我们该如何区分A用 ...
分类：
其他好文 时间：
2020-02-25 20:35:37
阅读次数：
83
JWT认证校验首选 1.pyJWT简述 因http协议本身为无状态，这样每次用户发出请求，我们并不能区分是哪个用户发出的请求，这样我们可以通过保存cookie以便于识别是哪个用户发来的请求，传统凡事基于session认证。但是这种认证本身很多缺陷，扩展性差，CSRF等问题。JWT(Json web ...
分类：
其他好文 时间：
2020-02-24 23:54:08
阅读次数：
156
Cross-site request forgery 简称为“CSRF”，在CSRF的攻击场景中攻击者会伪造一个请求（这个请求一般是一个链接），然后欺骗目标用户进行点击，用户一旦点击了这个请求，整个攻击就完成了。所以CSRF攻击也成为"one click"攻击。 很多人搞不清楚CSRF的概念，甚至有 ...
分类：
其他好文 时间：
2020-02-23 23:50:58
阅读次数：
71
CSRF攻击概述： CSRF（Cross Site Request Forgery 跨站域请求伪造）是一种网站攻击的方式，它在2007年曾被列为互联网20大安全隐患之一。其他的安全隐患，比如SQL脚本注入，跨站域脚本攻击等在近年来已经逐渐为众人熟知，很多网站也都针对他们进行了防御。然而，对于大多数人 ...
分类：
Web程序 时间：
2020-02-22 21:55:00
阅读次数：
70
最近碰到一个项目需要多图上传且能预览能删除 前端使用layui 引入脚本 <link rel="stylesheet" href="/static/layui/css/layui.css"> <script src="/static/layui/layui.js"></script> <script ...
分类：
Web程序 时间：
2020-02-22 16:15:32
阅读次数：
245
nmap扫描出来一个csrf漏洞 C:\nmap 192.168.1.1 --script=auth,vuln Starting Nmap 7.70 ( https://nmap.org ) at 2020-02-21 23:19 ?D1ú±ê×?ê±?? mass_dns: warning: Un ...
分类：
移动开发 时间：
2020-02-22 00:02:35
阅读次数：
672
