Відкрити папку
Відкрийте папку проєкту у вікні чату.
Робочі процеси
робочий процес тестування XSS
03
Перевірте вашу тестову копію
Відкрийте папку проєкту та попросіть агента знайти місця, куди потрапляє текст користувача. Він читає код, редагує файл для додавання кодування та перевіряє заголовки. Він також шукає запити, зібрані через конкатенацію рядків, і пропонує параметризовані варіанти для вашого огляду, відповідаючи на запитання, наприклад, коли параметризовані запити вразливі до SQL-ін'єкцій.
Знайти вводи
Попросіть агента знайти вводи користувача в коді.
Застосувати виправлення
Огляньте diff та прийміть зміну кодування.
Перевірити заголовки
Перевірте заголовки безпеки на тестовому сайті.
Приклад тестового плану
Виконайте план тестування ін'єкцій на тестовій копії.
- read_file
injection-test-plan.txt12 рядків - grep
grep -r "SELECT.*FROM3 збіги - Shell
run testsexit 0 - http_get
status check200 ok
чекає на вашу згоду перед наступним крокомВідхилитиПрийняти
injection-test-plan.txt
# Comment: Staging copy test plan
# Comment: Use fake data only
Test 1: Search box input
Input: A surname with an apostrophe
Expect: Page works, no error
Test 2: Long text input
Input: Very long text string
Expect: Page works, no error
Test 3: Empty input
Input: Just press enter
Expect: Page works, no errorПростий план тестування вводу зрозумілою мовою для тестової копії вашого власного додатка. Він перелічує безпечні вводи та очікувані результати без використання атакуючих рядків.
огляд тестування проникнення OWASP
Знайти та виправити
Агент використовує grep для пошуку рядків, де текст користувача об'єднується з HTML, і пропонує зміну edit_file для обгортання тексту безпечною функцією виводу. Огляньте diff. Ви бачите картку diff, яка чітко показує точну зміну. У режимі Ask first ви переглядаєте diff і натискаєте прийняти. Після цього агент запускає ваші модульні тести за допомогою інструмента Shell, щоб підтвердити, що виправлення працює. Ви перевіряєте результат, оглядаючи вивід сторінки у браузері. Цей підхід допомагає вирішити поширені проблеми, виявлені під час тестування cross-site scripting, зосереджуючись на структурі вашого коду. Багато розробників шукають ресурси для вивчення dom xss, тоді як тестування проникнення OWASP забезпечує валідацію кожної зміни перед розгортанням.
Перевірити заголовки
Агент використовує http_get для отримання вашої тестової сторінки та уважно читає деталі заголовка Content-Security-Policy, щоб ви могли перевірити налаштування політики. Перевірте значення. Використовуйте web_search для пошуку офіційної документації для вашого фреймворку. Потім використовуйте http_get для читання сторінки документації, щоб переконатися, що ви розумієте вимоги. Переконайтеся, що використовуєте правильні налаштування для тестування OWASP. Агент показує деталі заголовка в картці для огляду. Обробка xss під час міграції фреймворку вимагає ретельної перевірки цих заголовків. Огляньте вивід та вирішіть, чи підходить політика вашим потребам.
