神刀安全网

django-cas可能引起的安全漏洞

我之前改造了 kstateome/django-cas ,使其适合Open edX使用( wwj718/django-cas ),今早去南京某高校,讨论些东西,期间谈到需要可能更改cas的既有逻辑,于是回来重新翻了下 wwj718/django-cas 的源码,发现其中有一个潜在的安全隐患

隐患的代码为 user = User.objects.create_user(username, ”)

可能促发隐患的上下文是,系统采用cas的同事,还保留了原始的登录系统,而且默认情况就是如此

CAS的登录入口和edx默认的登录路口是并列关系(这可能带来很多问题)

urlpatterns += ( # CAS url(r'^accounts/login/$', 'cas.views.login', name='login'), url(r'^accounts/logout/$', 'cas.views.logout', name='logout'), )

策略

把cas作为唯一的登录方式,基本的做法是,覆盖原先的登录入口(修改url,注视掉原先的登录入口,不过edx的登录是以ajax的方式,禁用url可能还不够安全,更多细节我暂时没时间查看),更为彻底的做法是禁用django的默认认证后端

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » django-cas可能引起的安全漏洞

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址