Podszywanie się pod użytkownika Django przez admina

Nie mam jeszcze wystarczającej reputacji, aby edytować lub odpowiedzieć (chyba), ale odkryłem, że chociaż rozwiązanie działało w prostych przypadkach, bardziej solidnym rozwiązaniem dla mnie było użycie zmiennej sesyjnej. W ten sposób nawet żądania AJAX są poprawnie obsługiwane bez modyfikowania adresu URL żądania, aby zawierał parametr podszywania się pod GET.

class ImpersonateMiddleware(object):
    def process_request(self, request):
        if request.user.is_superuser and "__impersonate" in request.GET:
            request.session['impersonate_id'] = int(request.GET["__impersonate"])
        elif "__unimpersonate" in request.GET:
            del request.session['impersonate_id']
        if request.user.is_superuser and 'impersonate_id' in request.session:
            request.user = User.objects.get(id=request.session['impersonate_id'])

Użycie:

log in: http://localhost/?__impersonate=[USERID]
log out (back to admin): http://localhost/?__unimpersonate=True

Wygląda na to, że sporo innych osób miało ten problem i napisało do tego aplikacje wielokrotnego użytku, a przynajmniej niektóre są wymienione na stronie django packages do przełączania użytkowników . Najbardziej aktywni w momencie pisania wydają się być:

• django-hijack umieszcza przycisk "hijack" na liście użytkowników w adminie, wraz z odrobiną u góry strony na czas przejęcia konta.
• impostor oznacza, że możesz zalogować się używając nazwy użytkownika " me as other" i własne hasło
• django-impersonate ustawia adresy URL, aby zacząć podszywać się pod użytkownika, stop, search itp

Nie widzę, jak to jest dziura bezpieczeństwa bardziej niż używanie su-someuser jako root na maszynie unix. root lub django-admin z dostępem root/admin do bazy danych może udawać wszystko, jeśli chce. ryzyko polega tylko na pęknięciu konta django-admin, w którym to momencie cracker może ukryć utwory, stając się innym użytkownikiem, a następnie udając akcje jako użytkownik.

Tak, można to nazwać backdoorem, ale jak mówi ibz, administratorzy i tak mają dostęp do bazy danych. możliwość dokonaj zmian w bazie danych w tym świetle jest również backdoor.

@Charles Offenbacher odpowiedź jest świetna dla podszywania się pod użytkowników, którzy nie są uwierzytelniani za pomocą tokenów. Jednak nie będzie działać z aplikacjami po stronie klientów, które używają uwierzytelniania tokenów. Aby podszywać się pod użytkowników do pracy z aplikacjami używającymi tokenów, należy bezpośrednio ustawić nagłówek HTTP_AUTHORIZATION w Podszywanym oprogramowaniu pośrednim. Moja odpowiedź w zasadzie plagiatuje odpowiedź Karola i dodaje wiersze do ręcznego ustawiania wspomnianego nagłówka.

class ImpersonateMiddleware(object):
    def process_request(self, request):
        if request.user.is_superuser and "__impersonate" in request.GET:
            request.session['impersonate_id'] = int(request.GET["__impersonate"])
        elif "__unimpersonate" in request.GET:
            del request.session['impersonate_id']
        if request.user.is_superuser and 'impersonate_id' in request.session:
            request.user = User.objects.get(id=request.session['impersonate_id'])
            # retrieve user's token
            token = Token.objects.get(user=request.user)
            # manually set authorization header to user's token as it will be set to that of the admin's (assuming the admin has one, of course)
            request.META['HTTP_AUTHORIZATION'] = 'Token {0}'.format(token.key)

Skonfiguruj tak, aby mieć dwie różne nazwy hostów na tym samym serwerze. Jeśli robisz to lokalnie, możesz połączyć się z 127.0.0.1 lub localhost, na przykład. Twoja przeglądarka zobaczy to jako trzy różne witryny i możesz być zalogowany z różnymi użytkownikami. To samo działa na twojej stronie.

Więc oprócz www.mysite.com możesz ustawić test.mysite.com, i zaloguj się tam z użytkownikiem. Często konfiguruję strony (z Plone) więc mam zarówno www.mysite.com oraz admin.mysite.com, i tylko pozwalają dostęp do stron administratora stamtąd, co oznacza, że mogę zalogować się do normalnej strony z nazwą użytkownika, który ma problemy.