Ouvrir le dossier
Ouvrez le dossier du projet dans la fenêtre de chat.
Workflows
Workflow de test XSS
03
Vérifiez votre copie de staging
Ouvrez le dossier de votre projet et demandez à l'agent de localiser les entrées de texte utilisateur dans la page. Il lit le code, modifie le fichier pour ajouter l'encodage et vérifie les en-têtes. Il analyse également vos requêtes construites par concaténation de chaînes et vous suggère des requêtes paramétrées à valider, répondant à des questions telles que quand les requêtes paramétrées échouent face à l'injection SQL.
Repérer les entrées
Demandez à l'agent de repérer les entrées utilisateur dans le code.
Appliquer la correction
Examinez le diff et acceptez la modification d'encodage.
Vérifier les en-têtes
Contrôlez les en-têtes de sécurité sur le site de staging.
Exemple de plan de test
Exécutez le plan de test d'injection sur la copie de staging.
- read_file
injection-test-plan.txt12 lignes - grep
grep -r "SELECT.*FROM3 correspondances - Shell
run testsexit 0 - http_get
status check200 ok
en attente de votre validation avant l’étape suivanteRejeterAccepter
injection-test-plan.txt
# Comment: Staging copy test plan
# Comment: Use fake data only
Test 1: Search box input
Input: A surname with an apostrophe
Expect: Page works, no error
Test 2: Long text input
Input: Very long text string
Expect: Page works, no error
Test 3: Empty input
Input: Just press enter
Expect: Page works, no errorUn plan de test d'entrée en langage clair pour une copie de staging de votre application. Il liste des entrées inoffensives et les résultats attendus sans utiliser de chaînes d'attaque.
Guide de test de pénétration OWASP
Repérer et corriger
L'agent utilise grep pour repérer les lignes où le texte utilisateur est concaténé dans le HTML et suggère une modification via edit_file pour envelopper le texte dans une fonction de sortie sûre. Examinez le diff. Vous voyez une carte de diff affichant clairement la modification exacte. En mode Ask first, vous examinez le diff et cliquez sur Accepter. L'agent exécute ensuite vos tests unitaires à l'aide de l'outil Shell pour confirmer que la correction fonctionne. Vous vérifiez le résultat en consultant la sortie de la page dans votre navigateur. Cette approche vous aide à résoudre les problèmes courants détectés lors des tests de script intersite en vous concentrant sur la structure de votre code. De nombreux développeurs recherchent des ressources d'apprentissage sur le dom xss, tandis que les tests de pénétration OWASP garantissent que chaque modification est validée avant le déploiement.
Vérifier les en-têtes
L'agent utilise http_get pour récupérer votre page de staging et lit attentivement les détails de l'en-tête Content-Security-Policy afin que vous puissiez vérifier les paramètres de la politique. Vérifiez la valeur. Utilisez web_search pour trouver la documentation officielle de votre framework. Puis utilisez http_get pour lire cette page de documentation afin de vous assurer de bien comprendre les exigences. Assurez-vous d'utiliser les bons paramètres pour les tests OWASP. L'agent affiche les détails de l'en-tête dans une carte pour examen. La gestion des xss lors d'une migration de framework nécessite une vérification minutieuse de ces en-têtes. Examinez la sortie et décidez si la politique correspond à vos besoins.
