Otwórz folder
Otwórz folder projektu w oknie czatu.
Przepływy pracy
przepływ testów XSS
03
Sprawdź swoją kopię stagingową
Otwórz folder projektu i poproś agenta o znalezienie miejsc, w których tekst użytkownika trafia na stronę. Czyta kod, edytuje plik, aby dodać kodowanie, i sprawdza nagłówki. Szuka również w kodzie zapytań budowanych przez łączenie ciągów i sugeruje parametryzowane, do Twojej weryfikacji, odpowiadając na pytania, np. kiedy zapytania parametryzowane nie chronią przed sql injection.
Znajdź dane wejściowe
Poproś agenta o wyszukanie danych wejściowych użytkownika w kodzie.
Zastosuj poprawkę
Przejrzyj różnice i zaakceptuj zmianę kodowania.
Sprawdź nagłówki
Zweryfikuj nagłówki bezpieczeństwa na stronie stagingowej.
Przykład planu testów
Wykonaj plan testów iniekcji na kopii stagingowej.
- read_file
injection-test-plan.txt12 wierszy - grep
grep -r "SELECT.*FROM3 dopasowania - Shell
run testsexit 0 - http_get
status check200 ok
oczekiwanie na Twoją zgodę przed wykonaniem kolejnego krokuOdrzućAkceptuj
injection-test-plan.txt
# Comment: Staging copy test plan
# Comment: Use fake data only
Test 1: Search box input
Input: A surname with an apostrophe
Expect: Page works, no error
Test 2: Long text input
Input: Very long text string
Expect: Page works, no error
Test 3: Empty input
Input: Just press enter
Expect: Page works, no errorPlan testów danych wejściowych w prostym języku dla kopii stagingowej Twojej aplikacji. Wymienia bezpieczne dane wejściowe i oczekiwane wyniki bez użycia ciągów ataku.
przewodnik po testach penetracyjnych owasp
Znajdź i napraw
Agent używa grep do wyszukania wierszy, w których tekst użytkownika jest łączony z HTML, i sugeruje zmianę edit_file, aby objąć tekst bezpieczną funkcją wyjściową. Przejrzyj różnice. W trybie Ask first przeglądasz różnice i klikniesz akceptuj. Następnie agent uruchamia Twoje testy jednostkowe za pomocą narzędzia Shell, aby potwierdzić skuteczność poprawki. Weryfikujesz wynik, sprawdzając wynik na stronie w przeglądarce. Podejście to pomaga rozwiązać typowe problemy wykrywane podczas testów cross-site scripting, koncentrując się na strukturze Twojego kodu. Wielu programistów szuka zasobów do nauki dom xss, podczas gdy owasp penetration testing zapewnia, że każda zmiana jest zweryfikowana przed wdrożeniem.
Sprawdź nagłówki
Agent używa http_get do pobrania strony stagingowej i dokładnie odczytuje szczegóły nagłówka Content-Security-Policy, abyś mógł zweryfikować ustawienia polityki. Sprawdź wartość. Użyj web_search, aby znaleźć oficjalną dokumentację dla Twojego frameworka. Następnie użyj http_get, aby przeczytać tę stronę dokumentacji i upewnić się, że rozumiesz wymagania. Upewnij się, że używasz właściwych ustawień do testów owasp. Agent wyświetla szczegóły nagłówka w karcie do przeglądu. Obsługa xss podczas migracji frameworka wymaga starannej weryfikacji tych nagłówków. Przejrzyj wynik i zdecyduj, czy polityka odpowiada Twoim potrzebom.
