فتح المجلد
افتح مجلد المشروع في نافذة الدردشة.
سير العمل
سير عمل اختبار XSS
03
فحص النسخة التجريبية الخاصة بك
افتح مجلد مشروعك واطلب من الوكيل تحديد الأماكن التي يدخل فيها النص المدخل إلى الصفحة. يقرأ الكود، يعدل الملف لإضافة الترميز، ويتحقق من الرؤوس. كما يقرأ الكود الخاص بك للبحث عن الاستعلامات المبنية عن طريق دمج السلاسل ويقترح استعلامات معلمّرة لمراجعتها، مما يجيب على أسئلة مثل متى تفشل الاستعلامات المعلمّرة في حماية حقن SQL.
إدخال البيانات
اطلب من الوكيل العثور على مدخلات المستخدم في الكود.
تطبيق الإصلاح
راجع التغييرات وقبل تعديل الترميز.
فحص الرؤوس
تحقق من رؤوس الأمان على الموقع التجريبي.
مثال على خطة الاختبار
نفّذ خطة اختبار الحقن على النسخة التجريبية.
- read_file
injection-test-plan.txt12 سطرًا - grep
grep -r "SELECT.*FROM3 تطابقات - Shell
run testsexit 0 - http_get
status check200 ok
في انتظار موافقتك قبل الخطوة التاليةرفضقبول
injection-test-plan.txt
# Comment: Staging copy test plan
# Comment: Use fake data only
Test 1: Search box input
Input: A surname with an apostrophe
Expect: Page works, no error
Test 2: Long text input
Input: Very long text string
Expect: Page works, no error
Test 3: Empty input
Input: Just press enter
Expect: Page works, no errorخطة اختبار مدخلات بلغة بسيطة للنسخة التجريبية من تطبيقك الخاص. تذكر المدخلات غير الضارة والنتائج المتوقعة دون استخدام سلاسل الهجمات.
دليل اختبار الاختراق OWASP
البحث والإصلاح
يستخدم الوكيل grep للعثور على الأسطر التي يتم فيها دمج نص المستخدم في HTML ويقترح تغيير edit_file لتغليف النص في دالة إخراج آمنة. راجع التغييرات. ترى بطاقة diff توضح التغيير بدقة. في وضع Ask first، تراجع عن التغييرات وتقبلها. ثم يشغل الوكيل اختبارات الوحدة الخاصة بك باستخدام أداة Shell للتأكد من أن الإصلاح يعمل. تتحقق من النتيجة عن طريق فحص مخرجات الصفحة في متصفحك. يساعدك هذا النهج في معالجة المشكلات الشائعة التي يتم العثور عليها أثناء اختبار XSS من خلال التركيز على بنية الكود الخاص بك. يبحث العديد من المطورين عن موارد تعلم XSS في DOM، بينما يضمن اختبار الاختراق OWASP التحقق من كل تغيير قبل النشر.
فحص الرؤوس
يستخدم الوكيل http_get لجلب صفحة النسخة التجريبية الخاصة بك ويقرأ تفاصيل رأس Content-Security-Policy بعناية حتى تتمكن من التحقق من إعدادات السياسة. تحقق من القيمة. استخدم web_search للعثور على الوثائق الرسمية لإطار العمل الخاص بك. ثم استخدم http_get لقراءة صفحة الوثائق هذه للتأكد من فهمك للمتطلبات. تأكد من استخدام الإعدادات الصحيحة لاختبار OWASP. يعرض الوكيل تفاصيل الرأس في بطاقة للمراجعة. يتطلب التعامل مع XSS أثناء ترحيل الإطار التحقق الدقيق من هذه الرؤوس. راجع المخرجات وقرر ما إذا كانت السياسة تناسب احتياجاتك.
