Django - 018-сабақ. Django-да құпия сөзді табуға тырысқанда, зиянкестерді IP арқылы блоктау

IP, brute force, брутфорс, Django, блокировка, подбор пароля

Біз Django кіру бетін өзіміздің тұлғаланған кіру бетімен ауыстырғаннан кейін, сайт қауіпсіздігін жақсарту үшін осы ауыстыруды пайдалану уақыты келді. Мысалы, құпия сөзді табуға тырысқанда IP арқылы шабуылдаушыны блоктауды енгізу.

Мен бұл блоктау опциясын ұсынамын: құпия сөзді енгізудің үш сәтсіз әрекеті кезінде IP 15 минутқа бұғатталады, егер мұндай 15 минутқа бұғаттау 3 рет орын алса, онда IP 24 сағатқа бұғатталады.

Құлыптауды енгізу үшін сізге 4 өрісті қамтитын үлгі қажет:

• IP мекенжайы;
• Құпия сөзді енгізу әрекеттерінің саны;
• Құлыпты ашу уақыты;
• Бұғаттау күйі - True - бұғатталған болса, False - бұғатталмаған болса.

Мен сайттың әкімші панелінде блоктау жұмысының нәтижесін бірден көрсетемін, бірнеше ай бойы шағын жинақ жиналды.

models.py

Ал енді уақытша парольді болжау құлыптарының үлгісі қалай көрінетінін, сонымен қатар құлыптары бар кесте жоғарыдағы суретте көрсетілгендей болуы үшін басқару панелін қалай конфигурациялау керектігін көрейік.

from django.db import models
from django.contrib import admin


class TemporaryBanIp(models.Model):
    class Meta:
        db_table = "TemporaryBanIp"

    ip_address = models.GenericIPAddressField("IP адрес")
    attempts = models.IntegerField("Неудачных попыток", default=0)
    time_unblock = models.DateTimeField("Время разблокировки", blank=True)
    status = models.BooleanField("Статус блокировки", default=False)

    def __str__(self):
        return self.ip_address


class TemporaryBanIpAdmin(admin.ModelAdmin):
    list_display = ('ip_address', 'status', 'attempts', 'time_unblock')
    search_fields = ('ip_address',)

admin.py

Әкімші панелінде үлгіні тіркеу

from django.contrib import admin
from .models import TemporaryBanIp, TemporaryBanIpAdmin


admin.site.register(TemporaryBanIp, TemporaryBanIpAdmin)

рет көру.py

Алдыңғы мақаладағы жазбаның теңшеленген кіру беті әдісін өзгертейік. Бұл код сонымен қатар сұраудан IP мекенжайын алу үшін арнайы функцияны пайдаланады.

class ELoginView(View):

    # код метода get

    def post(self, request):
        # забираем данные формы авторизации из запроса
        form = AuthenticationForm(request, data=request.POST)

        # забираем IP адрес из запроса
        ip = get_client_ip(request)
        # получаем или создаём новую запись об IP, с которого вводится пароль, на предмет блокировки
        obj, created = TemporaryBanIp.objects.get_or_create(
            defaults={
                'ip_address': ip,
                'time_unblock': timezone.now()
            },
            ip_address=ip
        )

        # если IP заблокирован и время разблокировки не настало
        if obj.status is True and obj.time_unblock > timezone.now():
            context = create_context_username_csrf(request)
            if obj.attempts == 3 or obj.attempts == 6:
                # то открываем страницу с сообщением о блокировки на 15 минут при 3 и 6 неудачных попытках входа
                return render_to_response('accounts/block_15_minutes.html', context=context)
            elif obj.attempts == 9:
                # или открываем страницу о блокировке на 24 часа, при 9 неудачных попытках входа
                return render_to_response('accounts/block_24_hours.html', context=context)
        elif obj.status is True and obj.time_unblock < timezone.now():
            # если IP заблокирован, но время разблокировки настало, то разблокируем IP 
            obj.status = False
            obj.save()

        # если пользователь ввёл верные данные, то авторизуем его и удаляем запись о блокировке IP
        if form.is_valid():
            auth.login(request, form.get_user())
            obj.delete()

            next = urlparse(get_next_url(request)).path
            if next == '/admin/login/' and request.user.is_staff:
                return redirect('/admin/')
            return redirect(next)
        else:
            # иначе считаем попытки и устанавливаем время разблокировки и статус блокировки 
            obj.attempts += 1
            if obj.attempts == 3 or obj.attempts == 6:
                obj.time_unblock = timezone.now() + timezone.timedelta(minutes=15)
                obj.status = True
            elif obj.attempts == 9:
                obj.time_unblock = timezone.now() + timezone.timedelta(1)
                obj.status = True
            elif obj.attempts > 9:
                obj.attempts = 1
            obj.save()

        context = create_context_username_csrf(request)
        context['login_form'] = form

        return render_to_response('accounts/login.html', context=context)

Осылайша, кішігірім Django сайты үшін өте қарапайым құпия сөзбен дөрекі күшке қарсы шара жасай аласыз.

Django үшін Timeweb хостының VDS-сервері ұсынамын.