फ़ोल्डर खोलें
चैट विंडो में प्रोजेक्ट फ़ोल्डर खोलें।
वर्कफ़्लो
XSS टेस्टिंग वर्कफ़्लो
03
अपनी स्टैजिंग कॉपी की जाँच करें
अपने प्रोजेक्ट फ़ोल्डर को खोलें और एजेंट से कहें कि वह पाएँ कि यूजर टेक्स्ट पेज में कहाँ एंट्री ले रहा है। यह कोड पढ़ता है, एन्कोडिंग जोड़ने के लिए फ़ाइल को संपादित करता है और हेडर की जाँच करता है। यह स्ट्रिंग्स को जोड़कर बनाए गए क्वेरीज़ के लिए भी आपके कोड को पढ़ता है और पैरामीटराइज़्ड विकल्प सुझाता है जिन्हें आप समीक्षा करें, जैसे कि जब पैरामीटराइज़्ड क्वेरीज़ SQL injection में विफल हो जाती हैं।
इनपुट खोजें
एजेंट से कोड में यूजर इनपुट खोजने के लिए कहें।
फ़िक्स लागू करें
डिफ़ की समीक्षा करें और एन्कोडिंग बदलाव को स्वीकार करें।
हेडर की जाँच करें
स्टैजिंग साइट पर सुरक्षा हेडर की पुष्टि करें।
टेस्ट प्लान उदाहरण
स्टैजिंग कॉपी पर इंजेक्शन टेस्ट प्लान निष्पादित करें।
- read_file
injection-test-plan.txt12 पंक्तियाँ - grep
grep -r "SELECT.*FROM3 मिलान - Shell
run testsexit 0 - http_get
status check200 ok
अगले चरण से पहले आपकी अनुमति का प्रतीक्षारतअस्वीकार करेंस्वीकार करें
injection-test-plan.txt
# Comment: Staging copy test plan
# Comment: Use fake data only
Test 1: Search box input
Input: A surname with an apostrophe
Expect: Page works, no error
Test 2: Long text input
Input: Very long text string
Expect: Page works, no error
Test 3: Empty input
Input: Just press enter
Expect: Page works, no errorअपने ऐप की स्टैजिंग कॉपी के लिए एक सरल भाषा में इनपुट टेस्ट प्लान। यह हानिरहित इनपुट और अपेक्षित परिणामों की सूची देता है, हमला स्ट्रिंग्स का उपयोग किए बिना।
OWASP पेनेट्रेशन टेस्टिंग वॉकथ्रू
खोजें और फ़िक्स करें
एजेंट grep का उपयोग करके लाइनों को खोजता है जहाँ यूजर टेक्स्ट HTML में जोड़ा जा रहा है और एक safe आउटपुट फ़ंक्शन में टेक्स्ट को लपेटने के लिए edit_file बदलाव सुझाता है। डिफ़ की समीक्षा करें। आप एक डिफ़ कार्ड देखते हैं जो सटीक बदलाव को स्पष्ट रूप से दिखाता है। Ask first मोड में, आप डिफ़ की समीक्षा करते हैं और स्वीकार पर क्लिक करते हैं। एजेंट फिर Shell टूल का उपयोग करके आपके यूनिट टेस्ट चलाता है यह पुष्टि करने के लिए कि फ़िक्स काम कर रहा है। आप अपने ब्राउज़र में पेज आउटपुट की जाँच करके परिणाम की पुष्टि करते हैं। यह दृष्टिकोण आपको cross-site scripting टेस्टिंग के दौरान पाए जाने वाले सामान्य मुद्दों को आपकी कोड संरचना पर ध्यान केंद्रित करके हल करने में मदद करता है। कई डेवलपर्स DOM XSS सीखने के संसाधन खोजते हैं, जबकि OWASP पेनेट्रेशन टेस्टिंग यह सुनिश्चित करता है कि हर बदलाव को डिप्लॉयमेंट से पहले सत्यापित किया जाए।
हेडर की जाँच करें
एजेंट http_get का उपयोग करके आपकी स्टैजिंग पेज को फ़ेच करता है और Content-Security-Policy हेडर विवरण को सावधानी से पढ़ता है ताकि आप पॉलिसी सेटिंग्स की पुष्टि कर सकें। मान की जाँच करें। अपने फ्रेमवर्क के लिए आधिकारिक दस्तावेज़ीकरण खोजने के लिए web_search का उपयोग करें। फिर http_get का उपयोग करके उस दस्तावेज़ीकरण पेज को पढ़ें यह सुनिश्चित करने के लिए कि आप आवश्यकताओं को समझते हैं। सुनिश्चित करें कि आप OWASP टेस्टिंग के लिए सही सेटिंग्स का उपयोग कर रहे हैं। एजेंट हेडर विवरण को समीक्षा के लिए एक कार्ड में दिखाता है। फ्रेमवर्क माइग्रेशन के दौरान XSS हैंडल करने के लिए इन हेडर की सावधानीपूर्वक पुष्टि की आवश्यकता होती है। आउटपुट की समीक्षा करें और निर्णय लें कि क्या पॉलिसी आपकी आवश्यकताओं के अनुकूल है।
