एजेंट एक्शन्स
यह कमांड्स चलाता है और चैट में असल परिणाम दिखाता है।
उत्पाद
SQL इंजेक्शन टेस्ट ऑनलाइन: अपने स्टैजिंग कॉपी के लिए एजेंट
01
अपने कोड की जाँच करने के लिए कई डेवलपर SQL इंजेक्शन टेस्ट ऑनलाइन खोजते हैं, लेकिन CodeSpar कोई ऑनलाइन सेवा नहीं है। यह अपने पीसी पर टूल्स चलाता है और अपने स्टैजिंग कॉपी पर असल परिणाम चैट में दिखाता है। इसी तरह, लोग अक्सर ऑनलाइन SQL इंजेक्शन स्कैनर खोजते हैं, लेकिन CodeSpar कोई ऑनलाइन स्कैनर नहीं है। यह अपने लोकल शेल कमांड्स का उपयोग करके वर्कफ्लो संभालता है, यह सुनिश्चित करते हुए कि आप केवल अपने को टेस्ट करें।
फाइल्स और कोड
यह फाइल्स एडिट करता है और बदलाव स्वीकार करने से पहले डिफ दिखाता है।
आपका कंट्रोल
आप मोड चुनते हैं; Ask first मोड में आप बदलावों की अनुमति देते हैं।
अपने टेस्टिंग के लिए फीचर्स
- फाइल्सचैट फोल्डर में फाइल्स रीड, राइट, एडिट, grep और लिस्ट करें।
- Shellटर्मिनल कमांड्स चलाता है और असल एग्जिट कोड रिपोर्ट करता है।
- Webवेब पर सर्च करता है और ऑफिशियल डॉक्यूमेंटेशन पेज रीड करता है।
- स्क्रीनशॉट और इमेजेसइमेजेस सेव करता है और स्क्रीनशॉट से टेस्ट रीड करता है।
- ऑर्केस्ट्रेशनपैरलल सब-एजेंट्स और रीयूजेबल स्किल प्लेबुक का उपयोग करता है।
- अप्रूवल मोड्ससुरक्षा के लिए Auto-run, Ask first और Plan only।
- Cronअपनी ऐप की जाँच के लिए शेड्यूल पर अपने प्रॉम्प्ट्स चलाता है।
- Modelsक्लाउड, लोकल या बिल्ट-इन मॉडल एंडपॉइंट से कनेक्ट होता है।
एजेंट आपकी टेस्टिंग में कैसे मदद करता है
एजेंट डेटाबेस कॉल्स खोजता है और पैरामीटराइज्ड स्टेटमेंट्स का उपयोग करके क्वेरीज को रीराइट करता है। यह आउटपुट एन्कोडिंग की जाँच करता है और आपके स्टैजिंग साइट पर सिक्योरिटी हेडर्स की पुष्टि करता है।
सोर्स कोड में सभी डेटाबेस क्वेरीज खोजें और उन्हें लिस्ट करें। टेस्ट प्लान के लिए injection-test-plan.txt फाइल चेक करें। शेल का उपयोग करके टेस्ट्स चलाएं। http_get का उपयोग करके सिक्योरिटी हेडर्स चेक करें।
- grep
grep -r "SELECT" --include="*.py3 मैच - read_file
injection-test-plan.txt12 लाइन्स रीड - edit_file
src/query.pyसेव किया गया - Shell
run testsएग्जिट 0 - http_get
http_get https://staging.codesmite.net200 ओके
अगले चरण से पहले आपकी अनुमति का प्रतीक्षारतअस्वीकार करेंस्वीकार करें
अपने स्टैजिंग कॉपी के लिए वॉकथ्रू
SQL इंजेक्शन खोजें और फिक्स करें
एजेंट grep का उपयोग करके सोर्स कोड में डेटाबेस कॉल्स के लिए सर्च करता है और edit_file पैरामीटराइज्ड क्वेरीज का उपयोग करने के लिए कोड रीराइट करता है, जबकि आपको सटीक डिफ दिखाता है। यह एक टेस्ट है। आप अपडेट स्वीकार करने से पहले Ask first मोड में बदलावों की समीक्षा करते हैं। Shell यूनिट टेस्ट्स चलाता है यह पुष्टि करने के लिए कि फिक्स ने ऐप को तोड़े बिना काम किया है। सुरक्षित टेस्टिंग के लिए फेक डेटा और बैकअप के साथ एक स्टैजिंग कॉप सेटअप करें। SQL इंजेक्शन टेस्ट ऑनलाइन के दौरान अनजाने नुकसान से बचने के लिए डेटाबेस अकाउंट को कम राइट्स दें। सोर्स से सिंक तक DOM XSS को ट्रैस करने के लिए ऐप्लिकेशन लॉजिक का सावधानीपूर्वक विश्लेषण आवश्यक है। अपने फाइंडिंग्स की पुष्टि करने और रिजल्ट्स चेक करने के लिए SQL इंजेक्शन स्कैनर का उपयोग करें।
XSS और हेडर्स चेक करें
एजेंट http_get का उपयोग करके अपने स्टैजिंग साइट से एक पेज फेच करता है और स्टेटस कोड रीड करता है, इसलिए यह पुष्टि करता है कि Content-Security-Policy हेडर पेज पर मौजूद है और सिक्योरिटी पोस्चर की पुष्टि करता है। आप प्लान की समीक्षा करते हैं। Plan only एक विस्तृत प्लान लिखता है और इस चरण में बिल्कुल कुछ नहीं चलाता है। आप सुरक्षित और सही तरीके से फिक्स लागू करने के लिए Ask first मोड पर स्विच करते हैं। आप प्राइवेसी के लिए काम को अपने स्टैजिंग साइट तक ही सीमित रखते हैं। एजेंट फाइल रीड करता है यह पुष्टि करने के लिए कि आउटपुट उचित रूप से एन्कोड किया गया है। एडिटर समीक्षा के लिए डिफ में बदलावों को नोट करता है। टेस्ट डेटाबेस अकाउंट के पास वह न्यूनतम राइट्स हैं जो प्रभावी ढंग से काम करते हैं, और आप SQL इंजेक्शन के लिए CVSS स्कोर चेक कर सकते हैं ताकि फाइंडिंग्स को प्राथमिकता दे सकें।
CodeSpar क्या नहीं करता
यह कोई होस्टेड सेवा या प्लगइन नहीं है। यह केवल आपके अपने फाइल्स, पीसी और सर्वर्स के लिए है जिनका उपयोग करने के लिए आप अधिकृत हैं। आप काम को उनके भीतर ही रखते हैं। एजेंट स्कोप लागू नहीं करता है। Shell, web और SSH फोल्डर-बाउंड नहीं हैं। यह गारंटी नहीं है कि कोड, स्कैन या विश्लेषण सही हैं।
