Открыть папку
Откройте папку проекта в окне чата.
Рабочие процессы
Проверка XSS: рабочий процесс
03
Проверка вашей тестовой копии
Откройте папку проекта и попросите агента найти места, где пользовательский текст попадает на страницу. Он прочитает код, отредактирует файл для добавления кодировки и проверит заголовки. Он также проанализирует код на наличие запросов, собранных конкатенацией строк, и предложит параметризованные варианты для вашего обзора, отвечая на вопросы, например, когда параметризованные запросы не защищают от SQL-инъекций.
Найти вводы
Попросите агента найти пользовательские вводы в коде.
Применить исправление
Просмотрите изменения и примите изменение кодировки.
Проверить заголовки
Проверьте заголовки безопасности на тестовом сайте.
Пример плана тестирования
Выполнить план тестирования инъекций на тестовой копии.
- read_file
injection-test-plan.txt12 строк - grep
grep -r "SELECT.*FROM3 совпадения - Shell
run testsexit 0 - http_get
status check200 ok
ожидает вашего подтверждения перед следующим шагомОтклонитьПринять
injection-test-plan.txt
# Comment: Staging copy test plan
# Comment: Use fake data only
Test 1: Search box input
Input: A surname with an apostrophe
Expect: Page works, no error
Test 2: Long text input
Input: Very long text string
Expect: Page works, no error
Test 3: Empty input
Input: Just press enter
Expect: Page works, no errorПлан тестирования ввода на понятном языке для тестовой копии вашего собственного приложения. Он перечисляет безопасные вводы и ожидаемые результаты без использования атакующих строк.
Руководство по тестированию проникновения OWASP
Найти и исправить
Агент использует grep для поиска строк, где пользовательский текст объединяется с HTML, и предлагает изменение edit_file для оборачивания текста в безопасной функции вывода. Просмотрите diff. Вы видите карточку diff, показывающую точное изменение. В режиме Ask first вы просматриваете diff и нажимаете принять. Затем агент запускает ваши модульные тесты с помощью инструмента Shell, чтобы подтвердить работоспособность исправления. Вы проверяете результат, просматривая вывод страницы в браузере. Этот подход помогает решать распространенные проблемы, обнаруживаемые при тестировании межсайтового скриптинга, фокусируясь на структуре вашего кода. Многие разработчики ищут ресурсы для изучения dom xss, в то время как тестирование проникновения OWASP гарантирует, что каждое изменение будет проверено перед развертыванием.
Проверить заголовки
Агент использует http_get для получения вашей тестовой страницы и внимательно читает детали заголовка Content-Security-Policy, чтобы вы могли проверить настройки политики. Проверьте значение. Используйте web_search для поиска официальной документации для вашего фреймворка. Затем используйте http_get для чтения страницы документации, чтобы убедиться, что вы понимаете требования. Убедитесь, что вы используете правильные настройки для тестирования OWASP. Агент показывает детали заголовка в карточке для обзора. Обработка xss при миграции фреймворка требует тщательной проверки этих заголовков. Просмотрите вывод и решите, подходит ли политика вашим потребностям.
