Ordner öffnen
Öffnen Sie den Projektordner im Chatfenster.
Workflows
XSS-Test-Workflow
03
Prüfen Sie Ihre Staging-Kopie
Öffnen Sie Ihren Projektordner und bitten Sie den Agenten, herauszufinden, wo Benutzereingaben in die Seite gelangen. Er liest den Code, bearbeitet die Datei, um die Kodierung hinzuzufügen, und prüft die Header. Er scannt Ihren Code auch auf Abfragen, die durch das Anhängen von Strings erstellt wurden, und schlägt parametrisierte Varianten vor, die Sie überprüfen können. Er beantwortet Fragen wie, wann parametrisierte Abfragen SQL-Injection nicht verhindern.
Eingaben finden
Bitten Sie den Agenten, Benutzereingaben im Code zu finden.
Fix anwenden
Überprüfen Sie die Diff und akzeptieren Sie die Änderung der Kodierung.
Header prüfen
Überprüfen Sie die Sicherheitsheader auf der Staging-Site.
Beispiel für einen Testplan
Führen Sie den Injektionstestplan auf der Staging-Kopie aus.
- read_file
injection-test-plan.txt12 lines - grep
grep -r "SELECT.*FROM3 matches - Shell
run testsexit 0 - http_get
status check200 ok
wartet auf Ihre Bestätigung für den nächsten SchrittAblehnenAkzeptieren
injection-test-plan.txt
# Comment: Staging copy test plan
# Comment: Use fake data only
Test 1: Search box input
Input: A surname with an apostrophe
Expect: Page works, no error
Test 2: Long text input
Input: Very long text string
Expect: Page works, no error
Test 3: Empty input
Input: Just press enter
Expect: Page works, no errorEin Testplan in verständlicher Sprache für eine Staging-Kopie Ihrer eigenen App. Er listet harmlose Eingaben und erwartete Ergebnisse auf, ohne Angriffsstrings zu verwenden.
Schritt-für-Schritt-Anleitung zu OWASP-Penetrationstests
Finden und beheben
Der Agent verwendet grep, um Zeilen zu finden, in denen Benutzertexte in HTML eingefügt werden, und schlägt eine edit_file-Änderung vor, um den Text in eine sichere Ausgabefunktion einzuhüllen. Überprüfen Sie die Diff. Sie sehen eine Diff-Karte, die die genaue Änderung klar zeigt. Im Modus Ask first prüfen Sie die Diff und klicken auf Akzeptieren. Der Agent führt dann Ihre Unit-Tests mit dem Shell-Tool aus, um zu bestätigen, dass die Korrektur funktioniert. Sie überprüfen das Ergebnis, indem Sie die Seitenausgabe in Ihrem Browser prüfen. Dieser Ansatz hilft Ihnen, häufige Probleme zu beheben, die bei Cross-Site-Scripting-Tests auftreten, indem er sich auf Ihre Code-Struktur konzentriert. Viele Entwickler suchen nach Ressourcen zum Erlernen von DOM-XSS, während OWASP-Penetrationstests sicherstellen, dass jede Änderung vor der Bereitstellung validiert wird.
Header prüfen
Der Agent verwendet http_get, um Ihre Staging-Seite abzurufen, und liest die Details des Content-Security-Policy-Headers sorgfältig durch, damit Sie die Richtlinieneinstellungen überprüfen können. Überprüfen Sie den Wert. Verwenden Sie web_search, um die offizielle Dokumentation für Ihr Framework zu finden. Verwenden Sie dann http_get, um diese Dokumentationsseite zu lesen, um sicherzustellen, dass Sie die Anforderungen verstehen. Stellen Sie sicher, dass Sie die richtigen Einstellungen für OWASP-Tests verwenden. Der Agent zeigt die Header-Details in einer Karte zur Überprüfung an. Die Behandlung von XSS während der Framework-Migration erfordert eine sorgfältige Überprüfung dieser Header. Überprüfen Sie die Ausgabe und entscheiden Sie, ob die Richtlinie Ihren Anforderungen entspricht.
