フォルダを開く
チャットウィンドウでプロジェクトフォルダを開きます。
ワークフロー
XSSテストのワークフロー
03
ステージング環境をチェックする
プロジェクトフォルダを開き、エージェントにユーザー入力がページにどのように組み込まれているか調査させます。エージェントはコードを読み取り、エンコーディングを追加するためにファイルを編集し、ヘッダーを確認します。また、文字列結合で構築されたクエリをコード内で探し、パラメータ化されたクエリを提案してレビューを求めます。パラメータ化クエリでSQLインジェクションが失敗するケースなどについても回答します。
入力箇所を探す
エージェントにコード内のユーザー入力箇所を探すよう依頼します。
修正を適用する
差分を確認し、エンコーディング変更を受け入れます。
ヘッダーを確認する
ステージングサイトのセキュリティヘッダーを検証します。
テストプランの例
ステージング環境に対してインジェクションテストプランを実行します。
- read_file
injection-test-plan.txt12 lines - grep
grep -r "SELECT.*FROM3 matches - Shell
run testsexit 0 - http_get
status check200 ok
次のステップに進む前に確認を待機中拒否承認
injection-test-plan.txt
# Comment: Staging copy test plan
# Comment: Use fake data only
Test 1: Search box input
Input: A surname with an apostrophe
Expect: Page works, no error
Test 2: Long text input
Input: Very long text string
Expect: Page works, no error
Test 3: Empty input
Input: Just press enter
Expect: Page works, no error自前のアプリのステージング環境向けの、平易な言語による入力テストプランです。攻撃文字列を使用せずに、無害な入力と期待される結果をリスト化しています。
OWASPペネトレーションテストの手順
発見と修正
エージェントはgrepを使用して、ユーザーテキストがHTMLに結合されている行を検出し、テキストを安全な出力関数でラップするためのedit_file変更を提案します。差分を確認してください。差分カードには正確な変更内容が明確に表示されます。「Ask first」モードでは、差分を確認して「Accept」をクリックします。その後、エージェントはShellツールを使用してユニットテストを実行し、修正が機能することを確認します。ブラウザでページ出力を確認することで結果を検証します。このアプローチは、コード構造に焦点を当てることで、クロスサイトスクリプティングテストで見つかる一般的な問題に対処するのに役立ちます。多くの開発者はDOM XSSの学習リソースを求めています。OWASPペネトレーションテストにより、デプロイ前に変更がすべて検証されます。
ヘッダーを確認する
エージェントはhttp_getを使用してステージングページを取得し、Content-Security-Policyヘッダーの詳細を慎重に読み取り、ポリシー設定を検証できるようにします。値を確認してください。フレームワークの公式ドキュメントを見つけるためにweb_searchを使用します。その後、http_getを使用してそのドキュメントページを読み取り、要件を理解していることを確認します。OWASPテストに適切な設定を使用していることを確認してください。エージェントはヘッダーの詳細をカード形式で表示してレビューに供します。フレームワーク移行時のXSS処理では、これらのヘッダーの慎重な検証が必要です。出力を確認し、ポリシーがニーズに合致しているかどうかを判断します。
