CodeSpar
ขั้นตอนการทำงาน

ขั้นตอนการทดสอบ XSS

03
ตรวจสอบสแต็กกิ้ง

ตรวจสอบสแต็กกิ้งของคุณ

เปิดโฟลเดอร์โปรเจกต์แล้วสั่งให้เอเจนต์หาจุดที่ข้อความผู้ใช้ถูกนำไปแสดงบนหน้าเว็บ เอเจนต์จะอ่านโค้ด แก้ไขไฟล์เพื่อเพิ่มการเข้ารหัส และตรวจสอบ Header นอกจากนี้ยังอ่านโค้ดเพื่อหา Query ที่สร้างจากการต่อสตริง และแนะนำ Query แบบพารามิเตอร์ให้คุณตรวจสอบ พร้อมตอบคำถามเช่นเมื่อไหร่ที่ Query แบบพารามิเตอร์อาจล้มเหลวในการป้องกัน SQL injection

01

เปิดโฟลเดอร์

เปิดโฟลเดอร์โปรเจกต์ในหน้าต่างแชท

02

หาข้อมูลนำเข้า

สั่งให้เอเจนต์หาข้อมูลนำเข้าของผู้ใช้ในโค้ด

03

ใช้การแก้ไข

ตรวจสอบ diff และยอมรับการเปลี่ยนแปลงการเข้ารหัส

04

ตรวจสอบ Header

ตรวจสอบ Header ด้านความปลอดภัยบนเว็บไซต์สแต็กกิ้ง

ตัวอย่างแผนการทดสอบ

injection-test-plan.txt
# Comment: Staging copy test plan
# Comment: Use fake data only

Test 1: Search box input
Input: A surname with an apostrophe
Expect: Page works, no error

Test 2: Long text input
Input: Very long text string
Expect: Page works, no error

Test 3: Empty input
Input: Just press enter
Expect: Page works, no error

แผนทดสอบอินพุตแบบภาษาธรรมดาสำหรับสแต็กกิ้งของแอปพลิเคชันที่คุณเป็นเจ้าของ โดยระบุอินพุตที่ไม่เป็นอันตรายและผลลัพธ์ที่คาดหวังโดยไม่ใช้สตริงการโจมตี

ขั้นตอนการเจาะระบบตามมาตรฐาน OWASP

หาและแก้ไข

เอเจนต์ใช้ grep เพื่อหาบรรทัดที่ข้อความผู้ใช้ถูกต่อเข้ากับ HTML และแนะนำการเปลี่ยนแปลง edit_file เพื่อหุ้มข้อความด้วยฟังก์ชันเอาต์พุตที่ปลอดภัย ตรวจสอบ diff คุณจะเห็นการ์ด diff ที่แสดงการเปลี่ยนแปลงที่ชัดเจน ในโหมด Ask first คุณจะตรวจสอบ diff และคลิกยอมรับ จากนั้นเอเจนต์จะเรียกใช้การทดสอบหน่วยของคุณโดยใช้เครื่องมือ Shell เพื่อยืนยันว่าการแก้ไขใช้งานได้ คุณตรวจสอบผลลัพธ์โดยดูผลลัพธ์หน้าเว็บในเบราว์เซอร์ วิธีนี้ช่วยให้คุณจัดการกับปัญหาทั่วไปที่พบในการทดสอบ cross-site scripting โดยมุ่งเน้นที่โครงสร้างโค้ดของคุณ นักพัฒนาจำนวนมากกำลังค้นหาแหล่งเรียนรู้ dom xss ในขณะที่การเจาะระบบตามมาตรฐาน OWASP ช่วยให้การเปลี่ยนแปลงทุกการเปลี่ยนแปลงได้รับการตรวจสอบก่อนการปรับใช้

ตรวจสอบ Header

เอเจนต์ใช้ http_get เพื่อดึงหน้าสแต็กกิ้งของคุณและอ่านรายละเอียด Header Content-Security-Policy อย่างละเอียดเพื่อให้คุณสามารถตรวจสอบการตั้งค่านโยบายได้ ตรวจสอบค่า ใช้ web_search เพื่อค้นหาเอกสารทางการสำหรับเฟรมเวิร์กของคุณ จากนั้นใช้ http_get เพื่ออ่านหน้าเอกสารนั้นเพื่อให้แน่ใจว่าคุณเข้าใจข้อกำหนด ตรวจสอบว่าคุณใช้การตั้งค่าที่ถูกต้องสำหรับการทดสอบ OWASP เอเจนต์แสดงรายละเอียด Header ในการ์ดสำหรับการตรวจสอบ การจัดการ XSS ระหว่างการย้ายเฟรมเวิร์กต้องการการตรวจสอบ Header เหล่านี้อย่างระมัดระวัง ตรวจสอบผลลัพธ์และตัดสินใจว่านโยบายเหมาะกับความต้องการของคุณหรือไม่

CodeSpar สำหรับ Windows

เริ่มทดสอบเลย

ดาวน์โหลด CodeSpar ↗