Florian Apolloner 发言主题为 Django 安全,其中并未讨论针对 SSL 协议的攻击--因为那不在 Django 涉及范围内。(如感兴趣可参考 https://www.ssllabs.com/ssltest/)。

如发现 Django 的安全漏洞,请参阅 https://djangoproject.com/security,并通过此邮箱与我们联系:security@djangoproject.com。请勿将其公开,因为这会给漏洞修补造成极大的困难。 关于安全:参考 OWASP 十大网站安全隐患。以下是几条安全策略总结。

SQL/SMTP/OS 注入

基本规则是不要直接使用用户输入的内容。用户在网站界面输入的所有内容均应视作危险内容。如果你将用户输入的用户名字符串直接注入数据库,像这样的语句 select * from auth_user where username=%s,那就很容易被注入漏洞。当然如果使用 Django ,它能在内部进行转义处理,从而降低风险。

最好的方法是实现层级防御。如果给 URL 中的数值限制一个参数,并通过 ID 而不是字符串来选择用户,就预防了许多问题。同样的道理也适用于操作系统交互。用 Django 组件代替你自己的数据存储或邮箱,因为这些组件的安全性较高,如果没有 Django 组件,例如 LDAP 认证,那就应该小心了,因为你只得靠自己。总之,不推荐字符串插入。

总之千万不要直接使用用户输入的所有内容,如 http 头信息、上传的文件名或内容类型等。

认证和会话管理

基本规则:使用 Django 提供的功能

Django 本身为保证安全做了很多工作,密码均为加密保存,且采用多种算法,随着多个版本的迭代,新版本又有各种新的算法。Django 从1.9版本开始有了密码验证功能,包括长度检查、数字字符和通用字的验证,此外还可以自主增加验证内容。因此使用1.9版本的要记得使用哦。

Django 允许使用密码重置链接,其间服务器不需要储存任何内容。这个链接发送给用户,只能使用一次并且使用一次就可以重置密码。链接中包含用户 ID、时间戳、用户上次登录时间的 HMAC 哈希值,以及其他几项内容。如果想启用这个链接,可以配置 django.core.signing.*

跨站脚本攻击(XSS)

Django 的自动转义功能可阻止大量 XSS,但这仅适用于 HTML,它会用字符代替 < > ' ",属性都添加引号来进行标识。而 Javascript 则需要不同的转义 !var mystr="{{ value|escapejs}}"

典型的 XSS 攻击结果为 data="</script><script>alert('xss')'//"

如果想在在模板中插入json,那么:

var json = JSON.parse('{{ data|escapejs }}');  

或者使用 django -argonauts ,这样:

var json = {{ data|json }};  

如果想进行进一步的防御,则要启动 Django 的 XSS 保护,它所采用的 http 标头能使浏览器更严格地选择打开的内容,阻止内联 js 和事件处理器。 最关键的是要检查你的库以及代码,因为很多人仅仅是这样配置 mark_safe(json.dumps()

跨站请求伪造(CSRF)

图片链接基本采用这样方式:<img src="mybank.com/t/?amount=1000&to=apollo13">,该功能已默认启用,可以防止攻击者将一名用户连同有害请求一同发送给网站。Django 通过以下方法防御该攻击:在表格中随机生成一个值,并在你的 cookie 中设置随机值,如果直接进入表格并输入该值,便能匹配;如信息来自不同网站,则无法匹配。

未经验证的重定向和转发

/auth/login/?next=http://evil.com 这样的请求,登录后即进入evil.com,而这显然存在隐患,因此要配置使用 Django.utils.http.is_safe_url(),其包含的注释比代码还多,表明这是很难使用的代码。

检验安全列表

运行 manage.py check –deploy,确保每一项配置都正确。该操作会检查你可能遗漏的安全设置。

改进

如何改进 Django?

  • 限制登录速率
  • 双重要素认证( TOTPU2F 可作为参考实现方式)。
  • CSRF 提升(#16859)。
  • JSON 模板过滤器,未来将纳入 Django 核心功能。
  • SecurityMiddleware 增强(详见此处)。
  • 实现内容安全策略。
  • 限制 POST/GET 数据长度。

原文链接:http://reinout.vanrees.org/weblog/2015/11/06/django-security.html 本文是 Florian Apolloner 在 2015 Django under the hood 大会的发言总结,系 OneAPM 工程师编译整理。