Map openen
Open de projectmap in het chatvenster.
Workflows
XSS-testworkflow
03
Controleer je stagingkopie
Open je projectmap en vraag de agent om te zoeken waar gebruikersinput op de pagina wordt ingevoerd. Hij leest de code, bewerkt het bestand om codering toe te voegen en controleert de headers. Hij leest ook je code op queries die door het samenvoegen van strings zijn gebouwd en stelt geparametriseerde queries voor ter review, met antwoorden op vragen zoals wanneer geparametriseerde queries SQL-injectie niet voorkomen.
Inputs vinden
Vraag de agent om gebruikersinputs in de code te vinden.
Fix toepassen
Beoordeel de diff en accepteer de coderingswijziging.
Headers controleren
Verifieer de beveiligingsheaders op de stagingwebsite.
Voorbeeld van testplan
Voer het injectietestplan uit op de stagingkopie.
- read_file
injection-test-plan.txt12 regels - grep
grep -r "SELECT.*FROM3 matches - Shell
run testsexit 0 - http_get
status check200 ok
wacht op jouw goedkeuring voordat de volgende stap wordt uitgevoerdWeigerenAccepteren
injection-test-plan.txt
# Comment: Staging copy test plan
# Comment: Use fake data only
Test 1: Search box input
Input: A surname with an apostrophe
Expect: Page works, no error
Test 2: Long text input
Input: Very long text string
Expect: Page works, no error
Test 3: Empty input
Input: Just press enter
Expect: Page works, no errorEen testplan in gewone taal voor een stagingkopie van je eigen app. Het lijst onschadelijke inputs en verwachte resultaten op zonder aanvalsstrings te gebruiken.
OWASP-penetratietest walkthrough
Vinden en fixen
De agent gebruikt grep om regels te vinden waar gebruikersinput wordt samengevoegd met HTML en stelt een edit_file-wijziging voor om de tekst in een veilige outputfunctie te wikkelen. Beoordeel de diff. Je ziet een diff-kaart die de exacte wijziging duidelijk laat zien. In Ask first-modus beoordeel je de diff en klik je op accepteren. De agent voert vervolgens je unit-tests uit met het Shell-gereedschap om te bevestigen dat de fix werkt. Je verifieert het resultaat door de pagina-output in je browser te controleren. Deze aanpak helpt je veelvoorkomende problemen op te lossen die worden gevonden tijdens cross-site scripting-testen door te focussen op je codestructuur. Veel ontwikkelaars zoeken naar dom xss-leermiddelen, terwijl OWASP-penetratietest zorgt dat elke wijziging wordt gevalideerd voordat deze wordt gedeployed.
Headers controleren
De agent gebruikt http_get om je stagingpagina op te halen en leest de Content-Security-Policy-headerdetails zorgvuldig door zodat je de beleidinstellingen kunt verifiëren. Controleer de waarde. Gebruik web_search om de officiële documentatie voor je framework te vinden. Gebruik vervolgens http_get om die documentatiepagina te lezen om zeker te weten dat je de vereisten begrijpt. Zorg dat je de juiste instellingen gebruikt voor OWASP-testen. De agent toont de headerdetails in een kaart ter review. Het omgaan met XSS tijdens frameworkmigratie vereist zorgvuldige verificatie van deze headers. Beoordeel de output en beslis of het beleid past bij je behoeften.
