CodeSpar
워크플로우

XSS 테스트 워크플로우

03
스태징 확인

스태징 환경 확인

프로젝트 폴더를 열고 에이전트에게 사용자 입력이 페이지에 반영되는 위치를 찾아달라고 요청하세요. 에이전트는 코드를 읽고 인코딩 처리를 위해 파일을 수정한 후 헤더를 확인합니다. 또한 문자열 결합으로 생성된 쿼리를 찾아 검토할 매개변수화된 쿼리를 제안하며, 매개변수화된 쿼리가 SQL 인젝션에 취약한 시점과 같은 질문에 답합니다.

01

폴더 열기

채팅 창에서 프로젝트 폴더를 엽니다.

02

입력 찾기

에이전트에게 코드에서 사용자 입력을 찾아달라고 요청하세요.

03

수정 적용

변경 사항을 검토하고 인코딩 변경을 승인하세요.

04

헤더 확인

스태징 사이트의 보안 헤더를 검증하세요.

테스트 계획 예시

injection-test-plan.txt
# Comment: Staging copy test plan
# Comment: Use fake data only

Test 1: Search box input
Input: A surname with an apostrophe
Expect: Page works, no error

Test 2: Long text input
Input: Very long text string
Expect: Page works, no error

Test 3: Empty input
Input: Just press enter
Expect: Page works, no error

자신의 앱 스테이징 복사본을 위한 일반 언어 입력 테스트 계획입니다. 공격 문자열을 사용하지 않고 무해한 입력과 예상 결과를 나열합니다.

OWASP 침투 테스트 안내

찾고 수정하기

에이전트는 grep을 사용하여 사용자 텍스트가 HTML에 결합되는 줄을 찾고, 텍스트를 안전한 출력 함수로 감싸는 edit_file 변경을 제안합니다. 변경 사항을 검토하세요. diff 카드에서 정확한 변경 사항을 명확하게 확인할 수 있습니다. Ask first 모드에서는 변경 사항을 검토하고 승인을 클릭합니다. 그런 다음 에이전트는 Shell 도구를 사용하여 단위 테스트를 실행하여 수정이 제대로 작동하는지 확인합니다. 브라우저에서 페이지 출력을 확인하여 결과를 검증합니다. 이 접근 방식은 코드 구조에 중점을 둠으로써 크로스 사이트 스크립팅 테스트 중 발견된 일반적인 문제를 해결하는 데 도움이 됩니다. 많은 개발자가 DOM XSS 학습 자료를 찾지만, OWASP 침투 테스트는 모든 변경 사항이 배포 전에 검증되도록 보장합니다.

헤더 확인

에이전트는 http_get을 사용하여 스테이징 페이지를 가져오고 Content-Security-Policy 헤더 세부 정보를 신중하게 읽으므로 정책 설정을 검증할 수 있습니다. 값을 확인하세요. 프레임워크의 공식 문서를 web_search로 찾아보세요. 그런 다음 http_get을 사용하여 해당 문서 페이지를 읽어 요구 사항을 이해하세요. OWASP 테스트에 올바른 설정을 사용하고 있는지 확인하세요. 에이전트는 검토를 위해 헤더 세부 정보를 카드에 표시합니다. 프레임워크 마이그레이션 중 XSS 처리는 이러한 헤더의 신중한 검증이 필요합니다. 출력을 검토하고 정책이 필요에 부합하는지 결정하세요.

Windows용 CodeSpar

지금 테스트 시작

CodeSpar 다운로드 ↗