Abrir carpeta
Abre la carpeta del proyecto en la ventana del chat.
Flujos de trabajo
Flujo de pruebas XSS
03
Verifica tu copia de staging
Abre la carpeta de tu proyecto y pídele al agente que encuentre dónde entra el texto del usuario en la página. Lee el código, edita el archivo para agregar codificación y verifica los encabezados. También lee tu código en busca de consultas construidas mediante concatenación de cadenas y te sugiere versiones parametrizadas para que las revises, respondiendo preguntas como cuándo las consultas parametrizadas fallan ante inyección SQL.
Buscar entradas
Pídele al agente que encuentre las entradas del usuario en el código.
Aplicar corrección
Revisa el diff y acepta el cambio de codificación.
Verificar encabezados
Verifica los encabezados de seguridad en el sitio de staging.
Ejemplo de plan de pruebas
Ejecuta el plan de pruebas de inyección en la copia de staging.
- read_file
injection-test-plan.txt12 líneas - grep
grep -r "SELECT.*FROM3 coincidencias - Shell
run testsexit 0 - http_get
status check200 ok
esperando tu aprobación antes del siguiente pasoRechazarAceptar
injection-test-plan.txt
# Comment: Staging copy test plan
# Comment: Use fake data only
Test 1: Search box input
Input: A surname with an apostrophe
Expect: Page works, no error
Test 2: Long text input
Input: Very long text string
Expect: Page works, no error
Test 3: Empty input
Input: Just press enter
Expect: Page works, no errorUn plan de pruebas de entrada en lenguaje natural para una copia de staging de tu propia aplicación. Enumera entradas inofensivas y resultados esperados sin usar cadenas de ataque.
Guía de pruebas de penetración OWASP
Buscar y corregir
El agente usa grep para encontrar líneas donde el texto del usuario se concatena en HTML y sugiere un cambio con edit_file para envolver el texto en una función de salida segura. Revisa el diff. Ves una tarjeta de diff que muestra el cambio exacto con claridad. En modo Ask first, revisas el diff y haces clic en aceptar. Luego, el agente ejecuta tus pruebas unitarias usando la herramienta Shell para confirmar que la corrección funciona. Verificas el resultado revisando la salida de la página en tu navegador. Este enfoque te ayuda a abordar problemas comunes encontrados durante las pruebas de scripting entre sitios (XSS) al centrarte en la estructura de tu código. Muchos desarrolladores buscan recursos de aprendizaje sobre DOM XSS, mientras que las pruebas de penetración OWASP aseguran que cada cambio se valide antes del despliegue.
Verificar encabezados
El agente usa http_get para obtener tu página de staging y lee los detalles del encabezado Content-Security-Policy con cuidado para que puedas verificar la configuración de la política. Revisa el valor. Usa web_search para encontrar la documentación oficial de tu framework. Luego, usa http_get para leer esa página de documentación y asegurar que entiendes los requisitos. Asegúrate de estar usando la configuración correcta para las pruebas OWASP. El agente muestra los detalles del encabezado en una tarjeta para su revisión. Manejar XSS durante una migración de framework requiere una verificación cuidadosa de estos encabezados. Revisa la salida y decide si la política se ajusta a tus necesidades.
