Otevřít složku
Otevřete složku projektu v okně chatu.
Postupy
průběh testu XSS
03
Zkontrolujte svou staging kopii
Otevřete složku projektu a požádejte agenta, aby našel místa, kde vstup uživatele vstupuje do stránky. Přečte kód, upraví soubor pro přidání kódování a zkontroluje hlavičky. Také zkontroluje váš kód pro dotazy vytvořené spojováním řetězců a navrhne parametrizované verze k vašemu přezkoumání. Odpoví na otázky, jako je to, kdy parametrizované dotazy selhají při sql injection.
Najít vstupy
Požádejte agenta, aby našel uživatelské vstupy v kódu.
Aplikovat opravu
Zkontrolujte rozdíl a přijměte změnu kódování.
Zkontrolovat hlavičky
Ověřte bezpečnostní hlavičky na staging webu.
Příklad testovacího plánu
Proveďte plán testu injektáže na staging kopii.
- read_file
injection-test-plan.txt12 řádků - grep
grep -r "SELECT.*FROM3 shody - Shell
run testsexit 0 - http_get
status check200 ok
čeká na vaše potvrzení před dalším krokemOdmítnoutPřijmout
injection-test-plan.txt
# Comment: Staging copy test plan
# Comment: Use fake data only
Test 1: Search box input
Input: A surname with an apostrophe
Expect: Page works, no error
Test 2: Long text input
Input: Very long text string
Expect: Page works, no error
Test 3: Empty input
Input: Just press enter
Expect: Page works, no errorPlán testu vstupu v běžné řeči pro staging kopii vaší vlastní aplikace. Vypisuje neškodné vstupy a očekávané výsledky bez použití útočných řetězců.
průvodce OWASP penetračním testováním
Najít a opravit
Agent používá grep k nalezení řádků, kde je uživatelský text spojován do HTML, a navrhuje změnu edit_file pro obalení textu bezpečnou výstupní funkcí. Zkontrolujte rozdíl. Vidíte kartu s rozdílem, která jasně ukazuje přesnou změnu. V režimu Ask first zkontrolujete rozdíl a kliknete na přijmout. Agent poté spustí vaše jednotkové testy pomocí nástroje Shell, aby potvrdil, že oprava funguje. Výsledek ověříte zkontrolováním výstupu stránky ve svém prohlížeči. Tento přístup vám pomáhá řešit běžné problémy nalezené během testování cross-site scripting tím, že se zaměřuje na strukturu vašeho kódu. Mnoho vývojářů hledá zdroje pro learning dom xss, zatímco owasp penetration testing zajišťuje, že každá změna je ověřena před nasazením.
Zkontrolovat hlavičky
Agent používá http_get k načtení vaší staging stránky a pečlivě čte detaily hlavičky Content-Security-Policy, abyste mohli ověřit nastavení politiky. Zkontrolujte hodnotu. Použijte web_search k nalezení oficiální dokumentace pro váš framework. Poté použijte http_get k přečtení této stránky dokumentace, abyste se ujistili, že rozumíte požadavkům. Ujistěte se, že používáte správná nastavení pro owasp testing. Agent zobrazí detaily hlavičky v kartě k přezkoumání. Zvládnutí xss během migrace frameworku vyžaduje pečlivé ověření těchto hlaviček. Zkontrolujte výstup a rozhodněte se, zda politika vyhovuje vašim potřebám.
