SQLインジェクション テスト：自分のステージング環境向けのエージェント

自分のテストのための機能

• ファイルチャットフォルダ内のファイルの読み込み、書き込み、編集、grep、一覧表示を行います。
• Shellターミナルコマンドを実行し、実際の終了コードを報告します。
• WebWebを検索し、公式ドキュメントページを読み込みます。
• スクリーンショットと画像画像を保存し、スクリーンショットからテキストを読み取ります。
• オーケストレーション並列サブエージェントと再利用可能なスキルプレイブックを使用します。
• 承認モード安全性のために「Auto-run」、「Ask first」、「Plan only」を提供します。
• Cronスケジュールに従ってプロンプトを実行し、アプリをチェックします。
• モデルクラウド、ローカル、または内蔵モデルエンドポイントに接続します。

ステージング環境のウォークスルー

SQLインジェクションの特定と修正

エージェントはgrepを使用してソースコード内のデータベース呼び出しを検索し、edit_fileを使用してパラメータ化されたクエリを使用するようにコードを書き換えます。この際、正確な差分を表示します。これはテストです。「Ask first」モードで変更を確認し、承認する前に更新します。Shellを使用してユニットテストを実行し、アプリを壊さずに修正が機能することを確認します。安全なテストのために、フェイクデータとバックアップ付きのステージング環境を設定してください。SQLインジェクション テスト オンライン中に偶発的な損害を防ぐため、データベースアカウントに低い権限を設定してください。DOM XSSのソースからシンクまでの追跡には、アプリケーションロジックの慎重な分析が必要です。SQLインジェクション スキャナーを使用して発見を確認し、結果を確認してください。

XSSとヘッダーの確認

エージェントはhttp_getを使用してステージングサイトからページを取得し、ステータスコードを読み取ります。これにより、Content-Security-Policyヘッダーがページに存在することを確認し、セキュリティ体制を確認します。計画を確認します。「Plan only」はこのフェーズでは詳細な計画を記述し、何も実行しません。「Ask first」モードに切り替えて、修正を安全かつ正しく適用します。プライバシーのために作業を自分のステージングサイトに限定します。エージェントはファイルを読み取り、出力が適切にエンコードされていることを確認します。エディタは差分で変更を注釈付けし、あなたの確認に供します。テスト用データベースアカウントは効果的に機能する最低限の権限を持ち、SQLインジェクションのCVSSスコアを確認して優先順位を付けることができます。