نوشته های Shahab Kamalihttps://virgool.ir/feed/@shahabkamalicomfa2026-11-11 15:25:36https://files.virgool.ir/upload/users/8188/avatar/avatar.pngShahab Kamalihttps://virgool.ir/@shahabkamalicomمشکل امنیتی که بخاطر بررسی نکردن هدر سایت ممکن است در جانگو رخ دهدhttps://virgool.ir/@shahabkamalicom/مشکل-امنیتی-که-بخاطر-بررسی-نکردن-هدر-سایت-ممکن-است-در-جانگو-رخ-دهد-jj2yjjylkkhcدر این پست قصد دارم یکمشکل امنیتی که بخاطر بررسی نکردن هدر سایت ممکن است در جانگو رخ دهد و در ریست پسورد کاربر را با مشکل روبه رو کند برایتان شرح دهم.فرض کنید شما در سایتتان لینکی دارید که از طریق آن url برای ریست پسورد به ایمیل کاربر ارسال میکنید چیزی شبیه به کد زیر:url = “http://%s/users/new_password?token=%s” % (request.get_host(), token)حالا قصد دارید این رشته را که توکن تولید شده برای کاربر است به ایمیل او ارسال کنید.چیزی که ممکن است اینجا رخ بدهد این است که یک هکر هدر سایت را عوض کند در نتیجه لینک ارسال شده به ایمیل کاربری حاوی یه آدرس غیر معتبر به همراه توکن میباشد که هکر میتواند توکن را بدست آورد و به اطلاعات یوزر دسترسی پیدا کند.راه حل:اما راه حل چیست؟راه حل مطمین و امن این است که شما اجازه دسترسی به سایت توسط نام دامنه ای بجز نام دامنه خودتان را ندهید.و نام دامین را در قسمت تنظیمات پروژه اضافه کنید.ALLOWED_HOST = [‘domain name’]Shahab KamaliShahab KamaliFri, 06 Jul 2018 18:47:44 +0430