Mở thư mục
Mở thư mục dự án trong cửa sổ trò chuyện.
Quy trình
Quy trình kiểm thử XSS
03
Kiểm tra bản sao staging của bạn
Mở thư mục dự án và yêu cầu agent tìm nơi văn bản người dùng được đưa vào trang. Agent đọc mã, chỉnh sửa tệp để thêm mã hóa và kiểm tra các header. Agent cũng quét mã của bạn để tìm các truy vấn được xây dựng bằng cách nối chuỗi và đề xuất các truy vấn có tham số để bạn xem lại, giải đáp các câu hỏi như khi nào truy vấn có tham số vẫn bị SQL injection.
Tìm đầu vào
Yêu cầu agent tìm các đầu vào người dùng trong mã.
Áp dụng bản sửa lỗi
Xem lại diff và chấp nhận thay đổi mã hóa.
Kiểm tra header
Xác minh các header bảo mật trên trang staging.
Ví dụ kế hoạch kiểm thử
Thực hiện kế hoạch kiểm thử injection trên bản sao staging.
- read_file
injection-test-plan.txt12 dòng - grep
grep -r "SELECT.*FROM3 kết quả khớp - Shell
run testsexit 0 - http_get
status check200 ok
đang chờ bạn xác nhận trước khi thực hiện bước tiếp theoTừ chốiChấp nhận
injection-test-plan.txt
# Comment: Staging copy test plan
# Comment: Use fake data only
Test 1: Search box input
Input: A surname with an apostrophe
Expect: Page works, no error
Test 2: Long text input
Input: Very long text string
Expect: Page works, no error
Test 3: Empty input
Input: Just press enter
Expect: Page works, no errorKế hoạch kiểm thử đầu vào bằng ngôn ngữ tự nhiên cho bản sao staging của ứng dụng của bạn. Nó liệt kê các đầu vào vô hại và kết quả dự kiến mà không dùng các chuỗi tấn công.
Hướng dẫn thâm nhập OWASP
Tìm và sửa lỗi
Agent dùng grep để tìm các dòng nơi văn bản người dùng được nối vào HTML và đề xuất thay đổi edit_file để bọc văn bản trong một hàm xuất an toàn. Xem lại diff. Bạn thấy một thẻ diff hiển thị rõ ràng thay đổi chính xác. Ở chế độ Ask first, bạn xem lại diff và nhấp vào chấp nhận. Sau đó, agent chạy các bài kiểm thử đơn vị bằng công cụ Shell để xác nhận bản sửa lỗi hoạt động. Bạn xác minh kết quả bằng cách kiểm tra đầu ra trang trong trình duyệt. Cách tiếp cận này giúp bạn xử lý các vấn đề phổ biến trong kiểm thử cross-site scripting bằng cách tập trung vào cấu trúc mã. Nhiều nhà phát triển tìm tài nguyên học dom xss, trong khi kiểm thử thâm nhập OWASP đảm bảo mọi thay đổi đều được xác nhận trước khi triển khai.
Kiểm tra header
Agent dùng http_get để lấy trang staging của bạn và đọc chi tiết header Content-Security-Policy cẩn thận để bạn xác minh cài đặt chính sách. Kiểm tra giá trị. Dùng web_search để tìm tài liệu chính thức cho framework của bạn. Sau đó dùng http_get để đọc trang tài liệu đó nhằm đảm bảo bạn hiểu các yêu cầu. Đảm bảo bạn đang dùng cài đặt đúng cho kiểm thử owasp. Agent hiển thị chi tiết header trong một thẻ để bạn xem lại. Xử lý xss khi di chuyển framework đòi hỏi xác minh kỹ lưỡng các header này. Xem lại đầu ra và quyết định xem chính sách có phù hợp với nhu cầu của bạn hay không.
