Klasörü aç
Proje klasörünü sohbet penceresinde açın.
İş akışları
XSS test iş akışı
03
Staging kopyanızı kontrol edin
Proje klasörünüzü açın ve ajanın kullanıcı metninin sayfaya nasıl girdiğini bulmasını isteyin. Kodu okur, kodlama eklemek için dosyayı düzenler ve başlıkları kontrol eder. Ayrıca, dizelerin birleştirilmesiyle oluşturulan sorgular için kodunuzu okur ve gözden geçirmeniz için parametreli alternatifler önerir; parametreli sorguların SQL enjeksiyonuna karşı neden başarısız olabileceği gibi soruları yanıtlar.
Girdileri bul
Ajanın koddaki kullanıcı girdilerini bulmasını isteyin.
Düzeltmeyi uygula
Farkları gözden geçirin ve kodlama değişikliğini kabul edin.
Başlıkları kontrol et
Staging sitesindeki güvenlik başlıklarını doğrulayın.
Test planı örneği
Staging kopyasında enjeksiyon test planını yürüt.
- read_file
injection-test-plan.txt12 satır - grep
grep -r "SELECT.*FROM3 eşleşme - Shell
run testsexit 0 - http_get
status check200 ok
bir sonraki adımdan önce onayınızı bekliyorReddetKabul et
injection-test-plan.txt
# Comment: Staging copy test plan
# Comment: Use fake data only
Test 1: Search box input
Input: A surname with an apostrophe
Expect: Page works, no error
Test 2: Long text input
Input: Very long text string
Expect: Page works, no error
Test 3: Empty input
Input: Just press enter
Expect: Page works, no errorKendi uygulamanızın staging kopyası için basit bir dilde yazılmış girdi test planı. Saldırı dizeleri kullanmadan zararsız girdileri ve beklenen sonuçları listeler.
OWASP penetrasyon testi adım adım
Bul ve düzelt
Ajan, kullanıcı metninin HTML'e nasıl birleştirildiğini bulmak için grep kullanır ve metni güvenli bir çıktı işlevine sarmak için edit_file değişikliği önerir. Farkı gözden geçirin. Tam değişikliği açıkça gösteren bir fark kartı görürsünüz. Ask first modunda farkı gözden geçirir ve kabul edersiniz. Ardından ajan, düzeltmenin çalıştığını onaylamak için Shell aracını kullanarak birim testlerinizi çalıştırır. Sonucu tarayıcınızdaki sayfa çıktısını kontrol ederek doğrularsınız. Bu yaklaşım, kod yapınıza odaklanarak çapraz site betikleme testleri sırasında bulunan yaygın sorunları çözmenize yardımcı olur. Birçok geliştirici DOM XSS öğrenme kaynakları ararken, OWASP penetrasyon testi her değişikliğin dağıtımdan önce doğrulanmasını sağlar.
Başlıkları kontrol et
Ajan, staging sayfanızı almak için http_get kullanır ve politika ayarlarını doğrulamanız için Content-Security-Policy başlık ayrıntılarını dikkatlice okur. Değeri kontrol edin. Çerçeveniz için resmi belgelere erişmek için web_search kullanın. Ardından gereksinimleri anlamak için bu belgeleme sayfasını okumak üzere http_get kullanın. OWASP testleri için doğru ayarları kullandığınızdan emin olun. Ajan, başlık ayrıntılarını gözden geçirme için bir kartta gösterir. Çerçeve geçişi sırasında XSS yönetimi, bu başlıkların dikkatli doğrulamasını gerektirir. Çıktıyı gözden geçirin ve politikanın ihtiyaçlarınıza uygun olup olmadığına karar verin.
