Działania agenta
Uruchamia polecenia i pokazuje rzeczywiste wyniki w czacie.
Produkt
Test SQL Injection online: agent dla Twojej kopii stagingowej
01
Wielu programistów szuka narzędzia do testu SQL Injection online, gdy chcą zweryfikować własny kod, ale CodeSpar nie jest usługą online. Uruchamia narzędzia na Twoim komputerze przeciwko Twojej własnej kopii stagingowej i pokazuje wyniki w czacie. Podobnie często szuka się skanera SQL Injection online, jednak CodeSpar nie jest skanerem online. Obsługuje przepływ pracy za pomocą lokalnych poleceń powłoki na kopii stagingowej, zapewniając, że testujesz tylko to, czym jesteś właścicielem.
Pliki i kod
Edytuje pliki i pokazuje różnice (diff) przed zaakceptowaniem zmian.
Twoja kontrola
Wybierasz tryb; w Ask first zatwierdzasz zmiany.
Funkcje do Twoich własnych testów
- Plikiodczyt, zapis, edycja, grep i lista plików w folderze czatu.
- Shelluruchamia polecenia terminala i raportuje rzeczywisty kod wyjścia.
- Webwyszukuje w internecie i czyta strony oficjalnej dokumentacji.
- Zrzuty ekranu i obrazyzapisuje obrazy i odczytuje tekst ze zrzutów ekranu.
- Orkiestracjaużywa równoległych pod-agentów i wielokrotnego użytku playbooków umiejętności.
- Tryby zatwierdzaniaAuto-run, Ask first i Plan only dla bezpieczeństwa.
- Cronuruchamia Twoje polecenia według harmonogramu, aby sprawdzać aplikację.
- Modelełączy się z chmurą, lokalnym lub wbudowanym punktem końcowym modelu.
Jak agent pomaga w Twoich testach
Agent znajduje wywołania bazy danych i przepisuje zapytania, używając instrukcji parametryzowanych. Sprawdza kodowanie wyjścia i weryfikuje nagłówki bezpieczeństwa na Twojej stronie stagingowej.
Znajdź wszystkie zapytania do bazy danych w kodzie źródłowym i wypisz je. Sprawdź plik injection-test-plan.txt pod kątem planu testów. Uruchom testy za pomocą powłoki. Sprawdź nagłówki bezpieczeństwa używając http_get.
- grep
grep -r "SELECT" --include="*.py3 dopasowania - read_file
injection-test-plan.txtodczytano 12 linii - edit_file
src/query.pyzapisano - Shell
run testsexit 0 - http_get
http_get https://staging.codesmite.net200 ok
oczekiwanie na Twoją zgodę przed wykonaniem kolejnego krokuOdrzućAkceptuj
Przewodniki dla Twojej kopii stagingowej
Znajdź i napraw SQL Injection
Agent używa grep do wyszukania w kodzie źródłowym wywołań bazy danych, a edit_file przepisuje kod, aby używał zapytań parametryzowanych, pokazując Ci dokładną różnicę. To jest test. Przeglądasz zmiany w trybie Ask first przed zaakceptowaniem aktualizacji. Shell uruchamia Twoje testy jednostkowe, aby potwierdzić, że naprawa działa bez psucia aplikacji. Przygotuj kopię stagingową z fałszywymi danymi i kopią zapasową do bezpiecznego testowania. Nadaj kontu bazy danych niskie uprawnienia, aby zapobiec przypadkowemu uszkodzeniu podczas testu SQL Injection online. Śledzenie dom xss od źródła do ujścia wymaga starannej analizy logiki aplikacji. Użyj skanera SQL Injection, aby zweryfikować swoje wnioski i sprawdzić wyniki.
Sprawdź XSS i nagłówki
Agent używa http_get do pobrania strony z Twojej strony stagingowej i odczytuje kod stanu, więc weryfikuje, czy nagłówek Content-Security-Policy jest obecny na stronie i potwierdza postawę bezpieczeństwa. Przeglądasz plan. Plan only pisze szczegółowy plan i nie uruchamia niczego w tej fazie. Przełączasz się w tryb Ask first, aby bezpiecznie i poprawnie zastosować poprawki. Zostawiasz pracę na swojej własnej stronie stagingowej dla prywatności. Agent czyta plik, aby potwierdzić, że wyjście jest poprawnie zakodowane. Edytor odnotowuje zmiany w diff do Twojej przeglądy. Konto testowe bazy danych ma najniższe uprawnienia, które skutecznie działają, a możesz sprawdzić wynik cvss dla SQL Injection, aby priorytetyzować wnioski.
Czego CodeSpar nie robi
Nie jest to usługa hostowana ani wtyczka. Jest przeznaczony tylko dla Twoich własnych plików, komputera i serwerów, z których masz autoryzację do korzystania. Trzymasz pracę wewnątrz nich. Agent nie narzuca zakresu. Shell, web i SSH nie są powiązane z folderem. Nie ma gwarancji, że kod, skany lub analiza są poprawne.
