当前位置： 首页 > news >正文

【Django】Clickjacking点击劫持攻击实现和防御措施

news 2026/3/29 15:39:04

Clickjacking点击劫持

  • 1、clickjacking攻击
  • 2、clickjacking攻击场景

1、clickjacking攻击

clickjacking攻击又称为点击劫持攻击，是一种在网页中将恶意代码等隐藏在看似无害的内容（如按钮）之下，并诱使用户点击的手段。

2、clickjacking攻击场景

用户进入到一个网页中，里面包含了一个按钮（查看照片），但是这个按钮上面加载了一个透明的iframe标签，这个iframe标签加载了另外一个网页，并且他将这个网页的某个按钮和网页中的按钮（查看照片）重合，所以你在点击按钮（查看照片的时候）实际上点的是通过iframe加载的另外一个网页的按钮，比如我现在有一个csdn的用户账号，现在想要用户点击关注。那么我们就可以准备以下页面：

<!DOCTYPE html>
<html lang="en">
<head><meta charset="UTF-8"><title>Clickjacking</title><style>iframe {width: 100%;height: 100%;display: block;position: absolute;  /*指定iframe和button为绝对定位*/z-index: 20;  /*指定在垂直方向上的高低*/opacity: 0.01;/*指定透明度*/<!--注意，iframe的透明度不能设置为0，如果设置为0的话，就不能接受任何的点击事件了-->}button {position: absolute;left: 40px;top: 65px;z-index: 10;}</style>
</head>
<body>
<h2>哇塞，这张照片里怎么会有我！快来看看有没有你吧！</h2>
<button>查看照片</button>
<iframe src="https://blog.csdn.net/zjy123078_zjy/" frameborder="0"></iframe>
</body>
</html>

clickjacking防御：我们可以设置我们的网页不允许使用iframe被加载到其他网页中就可以避免这种情况了，我们可以通过在响应头中设置X-Frame-Options来设置这种操作，X-Frame-Options可以设置以下三个值：

  1. DEBY:不允许任何网页使用iframe加载我这个页面。
  2. SAMEORIGIN:只允许在相同域名（也就是自己的网站）下使用iframe加载这个页面。
  3. ALLOWED-FROM origin: 允许任何网页通过iframe加载我这个网页。


    在Django中，使用中间件django.middleware.clickjacking.XFrameOptionsMiddleware可以帮我们堵上这个漏洞，这个中间件设置了一个X-Frame-Option为DENY,也就是不允许任何网页使用iframe加载这个网页，这样就可以避免其他的别有用心的网页去通过iframe加载了。

    我们可以查看一下网页源代码，如下：
class XFrameOptionsMiddleware(MiddlewareMixin):"""Set the X-Frame-Options HTTP header in HTTP responses.Do not set the header if it's already set or if the response containsa xframe_options_exempt value set to True.By default, set the X-Frame-Options header to 'SAMEORIGIN', meaning theresponse can only be loaded on a frame within the same site. To prevent theresponse from being loaded in a frame in any site, set X_FRAME_OPTIONS inyour project's Django settings to 'DENY'."""def process_response(self, request, response):# Don't set it if it's already in the responseif response.get('X-Frame-Options') is not None:return response# Don't set it if they used @xframe_options_exemptif getattr(response, 'xframe_options_exempt', False):return responseresponse['X-Frame-Options'] = self.get_xframe_options_value(request,response)return responsedef get_xframe_options_value(self, request, response):"""Get the value to set for the X_FRAME_OPTIONS header. Use the value fromthe X_FRAME_OPTIONS setting, or 'DENY' if not set.This method can be overridden if needed, allowing it to vary based onthe request or response."""return getattr(settings, 'X_FRAME_OPTIONS', 'DENY').upper()

所以，在我们使用django创建项目的时候，默认的情况下，Django就会默认的帮我们定义一个处理“点击劫持攻击”的中间件，默认情况下就是开启的

相关文章：

【Django】Clickjacking点击劫持攻击实现和防御措施

Clickjacking点击劫持 1、clickjacking攻击2、clickjacking攻击场景 1、clickjacking攻击 clickjacking攻击又称为点击劫持攻击&#xff0c;是一种在网页中将恶意代码等隐藏在看似无害的内容&#xff08;如按钮&#xff09;之下&#xff0c;并诱使用户点击的手段。 2、clickj…...

编程日记 2024/11/12 14:46:23

Ansys Zemax | 手机镜头设计 - 第 4 部分：用LS-DYNA进行冲击性能分析

该系列文章将讨论智能手机镜头模组设计的挑战&#xff0c;从概念和设计到制造和结构变形分析。本文是四部分系列中的第四部分&#xff0c;它涵盖了相机镜头的显式动态模拟&#xff0c;以及对光学性能的影响。使用Ansys Mechanical和LS-DYNA对相机在地板上的一系列冲击和弹跳过程…...

编程日记 2024/11/12 14:44:21

工具收集 - java-decompiler / jd-gui

工具收集 - java-decompiler / jd-gui 参考资料 用法&#xff1a;拖进来就行了 参考资料 https://github.com/java-decompiler/jd-gui 脚本之家&#xff1a;java反编译工具jd-gui使用详解...

编程日记 2024/11/12 14:43:18

《无线重构世界》射频模组演进

射频前端四大金刚 射频前端由PA、LNA、滤波器、开关“四大金刚” 不同的模块有自己的工艺和性能特点 分层设计 射频前端虽然只由PA、LNA、开关、混频器4个模块构成&#xff0c;但不同模块之间相互连接且相互影响。如果将射频系统当成一个整体来理解&#xff0c;其中的细节和…...

编程日记 2024/11/12 14:42:17

渗透测试---docker容器

声明&#xff1a;学习素材来自b站up【泷羽Sec】&#xff0c;侵删&#xff0c;若阅读过程中有相关方面的不足&#xff0c;还请指正&#xff0c;本文只做相关技术分享,切莫从事违法等相关行为&#xff0c;本人一律不承担一切后果 目录 一、Docker的作用与优势 二、docker的核心…...

编程日记 2024/11/12 14:40:14

【go从零单排】Atomic Counters原子计数

&#x1f308;Don’t worry , just coding! 内耗与overthinking只会削弱你的精力&#xff0c;虚度你的光阴&#xff0c;每天迈出一小步&#xff0c;回头时发现已经走了很远。 &#x1f4d7;概念 在 Go 语言中&#xff0c;原子计数器&#xff08;Atomic Counters&#xff09;是…...

编程日记 2024/11/12 14:38:12

VSCode中python插件安装后无法调试

问题 VSCode中python插件安装后无法调试&#xff0c;如下&#xff0c;点击调试&#xff0c;VScode中不报错&#xff0c;也没有调试 解决方法 1、查看配置 打开所在路径 2、拷贝 将整个文件夹拷贝到vscode默认路径下 3、问题解决 再次调试&#xff0c;可以正常使用了…...

编程日记 2024/11/12 14:33:05

用react实现radio同时关联proform组件

实现&#xff1a; <ProFormRadio.GroupradioType{button}name{[bodyConfig, format]}label"请求体格式"initialValue{json}options{createTabs}fieldProps{{buttonStyle: solid,wrapperMarginInlineEnd: 20,onChange: e > {let v e.target.value;databaseMod…...

编程日记 2024/11/12 14:30:02

Objective-C 1.0和2.0有什么区别？

Objective-C ObjC比较小众&#xff0c;在1980年左右由Stepstone公司的Brad Cox和Tom Love发明。后来NeXT公司获得ObjC语言使用权&#xff0c;再后来到1996年NeXT被苹果公司收购也变成苹果公司使用&#xff0c;Mac市场占有率本身就不高&#xff0c;ObjC没有太多程序员。在移动互…...

编程日记 2024/11/12 14:29:01

TCP连接如何保障数据传输安全

TCP连接保障数据传输安全主要通过以下几个机制实现&#xff1a; 1、建立连接&#xff1a;TCP通过三次握手过程建立连接&#xff0c;确保通信双方实体真实存在&#xff0c;为后续的可靠数据传输打下基础。 2、序号机制&#xff1a;TCP为每个传输的数据包分配一个序号&#xff…...

编程日记 2024/11/12 14:26:59

【论文复现】ChatGPT多模态命名实体识别

&#x1f4dd;个人主页&#x1f339;&#xff1a;Eternity._ &#x1f339;&#x1f339;期待您的关注 &#x1f339;&#x1f339; ❀ChatGPT ChatGPT辅助细化知识增强&#xff01;1. 研究背景2. 模型结构和代码3. 任务流程第一阶段&#xff1a;辅助精炼知识启发式生成第二阶段…...

编程日记 2024/11/12 14:24:56

管理 Elasticsearch 变得更容易了，非常容易！

作者&#xff1a;来自 Elastic Ken Exner Elasticsearch 用户&#xff0c;我们听到了你的心声。管理 Elasticsearch 有时会变得很复杂&#xff0c;面临的挑战包括性能调整、问题检测和资源优化。我们一直致力于简化你的体验。今天&#xff0c;我们宣布了自收购 Opster 以来的一…...

编程日记 2024/11/12 14:23:54

SynchronousQueueworkQueue.offer() 和 poll() 方法的超时控制及线程池的讨论

2024.11.12 11:26 问&#xff1a;workQueue.offer(command) 这里 workQueue.poll(keepAlive, TimeUnit.NANOSECONDS) : 这里的 workQueue.offer(command) 没有超时时间控制&#xff1f; Claude 3.5 Haiku 非常好的问题&#xff01;我来详细解释 offer() 和 poll() 方法的区别…...

编程日记 2024/11/12 14:17:49

自动驾驶---“火热的”时空联合规划

1 背景 早期的不少规划算法都是横纵分离的（比如Apollo），先求解path之后，依赖path的结果再进行speed的求解。这种横纵解耦的规划方式具有以下特点： 相对较为简单，计算量通常较小，容易实现实时性要求。但是由于分别规划横向和纵向运动，可能会忽略两者之间的耦合关系，导致…...

编程日记 2024/11/12 14:16:47

命令行工具进阶指南

&#x1f680; 命令行工具进阶指南&#xff1a;Git、Shell与效率工具的进阶之路 掌握命令行工具&#xff0c;让你的开发效率突飞猛进。本文将深入探讨 Git 高级技巧、Shell 脚本自动化以及各种效率倍增的 CLI 工具。 &#x1f4d1; 目录 Git 高级技巧与工作流Shell 脚本自动化…...

编程日记 2024/11/12 14:14:45

扫雷游戏代码分享(c基础)

hi , I am 36. 代码来之不易&#x1f44d;&#x1f44d;&#x1f44d; 创建两个.c 一个.h 1&#xff1a;test.c #include"game.h"void game() {//创建数组char mine[ROWS][COLS] { 0 };char show[ROWS][COLS] { 0 };char temp[ROWS][COLS] { 0 };//初始化数…...

编程日记 2024/11/12 14:12:42

基于vue框架的的社区居民服务管理系统8w86o（程序+源码+数据库+调试部署+开发环境）系统界面在最后面。

系统程序文件列表 项目功能&#xff1a;居民,楼房信息,报修信息,缴费信息,维修进度 开题报告内容 基于Vue框架的社区居民服务管理系统开题报告 一、研究背景与意义 随着城市化进程的加速&#xff0c;社区居民数量激增&#xff0c;社区管理面临着前所未有的挑战。传统的社区…...

编程日记 2024/11/12 14:10:40

一分钟快速熟悉makedown

Markdown 是一种轻量级标记语言&#xff0c;广泛用于编写文档、撰写博客、创建 README 文件等。它的语法简单易学&#xff0c;能够快速生成格式化的文本。以下是 Markdown 的一些常用语法和示例&#xff1a; 1. 标题 Markdown 支持六级标题&#xff0c;使用 # 符号表示。 # …...

编程日记 2024/11/12 14:09:38

P8649 [蓝桥杯 2017 省 B] k 倍区间:同余，前缀和，组合数，区间个数

题目描述 给定一个长度为 NN 的数列&#xff0c;A1,A2,⋯ANA1​,A2​,⋯AN​&#xff0c;如果其中一段连续的子序列 Ai,Ai1,⋯Aj(i≤j)Ai​,Ai1​,⋯Aj​(i≤j) 之和是 KK 的倍数&#xff0c;我们就称这个区间 [i,j][i,j] 是 KK 倍区间。 你能求出数列中总共有多少个 KK 倍区…...

编程日记 2024/11/12 14:08:36

产业与学术相互促进，2024年OEG海上能源博览会助力全球能源可持续发展

10月30日至31日&#xff0c;2024年OEG海上能源全产业链博览会在上海跨国采购会展中心成功举办。本次大会系全球海洋工程与高端装备领域的年度国际交流盛会——第十一届全球FPSO&FLNG&FSRU大会&#xff0c;同期举办第七届亚洲海洋风能大会。本次大会暨博览会由上海船舶工…...

编程日记 2024/11/12 14:07:34

【Pandas】— apply( ) 深度解析

&#x1f31f;【Pandas 实战系列】apply() 深度解析&#xff1a;从 Series 到 DataFrame&#xff0c;逐行/逐元素处理全掌握&#xff01; 前言&#xff1a;为什么 apply() 是 Pandas 的“灵魂方法”&#xff1f; apply() 不是简单地“调用函数”&#xff0c;而是告诉 pandas&am…...

编程新知 2026/3/29 15:03:45

yfinance终极指南：5分钟掌握免费金融数据获取

yfinance终极指南&#xff1a;5分钟掌握免费金融数据获取 【免费下载链接】yfinance Download market data from Yahoo! Finances API 项目地址: https://gitcode.com/GitHub_Trending/yf/yfinance 在金融分析和量化投资领域&#xff0c;高质量的数据是一切分析的基础。…...

编程新知 2026/3/29 14:41:40

PyTorch Geometric安装避坑指南：从依赖冲突到版本匹配，手把手带你搞定PyG环境

PyTorch Geometric安装避坑指南&#xff1a;从依赖冲突到版本匹配 每次打开终端准备安装PyTorch Geometric&#xff08;PyG&#xff09;时&#xff0c;那种既期待又忐忑的心情&#xff0c;相信很多图神经网络&#xff08;GNN&#xff09;开发者都深有体会。明明按照官方文档一…...

编程新知 2026/3/29 14:35:39

如何通过llm-colosseum实现LLM模型的创新高效评估

如何通过llm-colosseum实现LLM模型的创新高效评估 【免费下载链接】llm-colosseum Benchmark LLMs by fighting in Street Fighter 3! The new way to evaluate the quality of an LLM 项目地址: https://gitcode.com/GitHub_Trending/ll/llm-colosseum 在人工智能快速发…...

编程新知 2026/3/29 13:57:18

cv_resnet101_face-detection_cvpr22papermogface 与数据库课程设计结合：构建人脸信息管理系统

cv_resnet101_face-detection_cvpr22papermogface 与数据库课程设计结合&#xff1a;构建人脸信息管理系统 1. 引言&#xff1a;从课堂理论到实战项目 如果你是一名计算机专业的学生&#xff0c;可能已经学过了数据库原理&#xff0c;也接触过一些人工智能的课程。但你是否想…...

编程新知 2026/3/29 13:45:10

为什么C++开发者需要关注LunaSVG这个SVG渲染库？

为什么C开发者需要关注LunaSVG这个SVG渲染库&#xff1f; 【免费下载链接】lunasvg lunasvg is a standalone SVG rendering library in C 项目地址: https://gitcode.com/gh_mirrors/lu/lunasvg 在现代软件开发中&#xff0c;矢量图形处理已经成为许多应用程序的核心需…...

编程新知 2026/3/29 13:30:42

Vue3+Tauri实战：从零构建桌面聊天应用，仿微信核心功能解析

1. 为什么选择Vue3Tauri开发桌面应用 最近两年桌面应用开发领域出现了一个有趣的现象&#xff1a;传统Electron应用虽然依然流行&#xff0c;但开发者们开始寻找更轻量、性能更好的替代方案。这就是Tauri逐渐受到关注的原因。作为一个长期使用Electron的老手&#xff0c;我第一…...

编程新知 2026/3/29 13:04:26

Python MCP服务部署成本飙升？5个被90%团队忽略的隐性开销及实时监控方案

第一章&#xff1a;Python MCP服务部署成本飙升的真相与警示Python MCP&#xff08;Model Control Plane&#xff09;服务在微服务架构中承担模型注册、版本调度、A/B测试路由等关键职责。近期大量团队反馈其云上部署成本在两周内激增300%以上&#xff0c;远超业务增长曲线。深…...

编程新知 2026/3/29 12:42:14

遥感图像小目标检测实战：手把手教你用FFCA-YOLO复现TGRS 2024论文实验（附代码与环境配置）

遥感图像小目标检测实战&#xff1a;FFCA-YOLO从环境配置到结果复现全流程解析 当面对遥感图像中那些仅占3232像素的微小目标时&#xff0c;传统检测方法往往力不从心。FFCA-YOLO作为TGRS 2024的最新研究成果&#xff0c;通过特征增强模块(FEM)、特征融合模块(FFM)和空间上下文…...

编程新知 2026/3/29 11:27:19

选题毫无头绪？高校导师推荐这几个AI论文写作工具

写论文总是卡壳&#xff1f;选题没方向、结构不清晰、文献找不全、语言不专业……这些痛点让很多学生倍感压力。其实&#xff0c;只要用对 AI 工具、走对写作流程&#xff0c;就能大幅提升效率。资深教授普遍建议&#xff1a;千笔AI&#xff08;中文全流程首选&#xff09; 豆包…...

编程新知 2026/3/29 10:26:49