agent kiểm thử owasp api top 10

Tính năng

• Tệpread_file, write_file, edit_file, grep và list_dir quản lý các tệp dự án của bạn bên trong thư mục trò chuyện.
• Shellchạy lệnh terminal như bộ kiểm tra cú pháp và bài kiểm thử, báo cáo mã thoát thực tế cho kết quả thành công.
• Websử dụng web_search và http_get để đọc các trang tài liệu chính thức từ internet.
• Ảnh chụp màn hình và hình ảnhgen_image lưu các tệp thực và ocr đọc văn bản từ ảnh chụp màn hình.
• Điều phốitask chạy các agent con song song và skill lưu trữ các kịch bản có thể tái sử dụng cho các tác vụ phổ biến.
• Chế độ phê duyệtAuto-run hành động ngay lập tức, Ask first tạm dừng trước khi thay đổi, Plan only viết kế hoạch.
• Cronchạy các lời nhắc theo lịch trình để duy trì các kiểm tra bảo mật của bạn thường xuyên.
• Mô hìnhhỗ trợ API đám mây, mô hình cục bộ hoặc mô hình tích hợp để sử dụng ngay lập tức.

Hướng dẫn từng bước

Kiểm tra rủi ro OWASP

Agent đọc tệp OpenAPI để liệt kê các điểm cuối và sử dụng grep để tìm trình xử lý tuyến đường trong mã của bạn để biết nơi cần kiểm tra. Nó kiểm tra quyền truy cập. Nó sử dụng http_get để gửi yêu cầu đến URL staging của bạn. Nó xác minh rằng mã thông báo đăng nhập hết hạn đúng cách và kiểm tra ủy quyền cấp đối tượng bị hỏng bằng cách hoán đổi ID người dùng. Việc tiết lộ khóa API trong mã nguồn trang web là một rủi ro phổ biến mà agent giúp bạn xác định trong quá trình rà soát. Nó đọc nhật ký lỗi để tìm chi tiết bị rò rỉ và viết báo cáo với mức độ nghiêm trọng cho từng phát hiện. Bạn xem xét kế hoạch ở chế độ Plan only trước khi chấp nhận bất kỳ thay đổi nào đối với thư mục làm việc. Quy trình này phù hợp với các hướng dẫn OWASP API Top 10 để bảo mật giao diện lập trình ứng dụng của bạn.

Quét khóa

Agent sử dụng grep để tìm các mẫu khóa ứng viên trong các tệp nguồn của bạn và edit_file đề xuất di chuyển chúng sang cấu hình với diff ở chế độ Ask first. Bạn xem xét các thay đổi. Nó hoạt động cục bộ trên PC Windows của bạn. OWASP API Security Top 10 hướng dẫn các kiểm tra này. Khóa API được mã hóa cứng được gửi trong ứng dụng thường làm rò rỉ bí mật. Không giới hạn tốc độ trên đăng nhập và OTP gây ra vấn đề. Agent ghi lại tất cả các phát hiện để lưu trữ của bạn. Nó giữ bí mật khỏi các ghi chú và báo cáo chia sẻ.