Аудит безопасности веб-приложения и пентест по исходному коду
Описание промпта
Промпт для глубокого анализа безопасности веб-приложения на основе его исходного кода. ИИ выступает в роли эксперта по этичному пентестингу, проверяя код, конфигурации и зависимости на соответствие стандартам OWASP.
- Автоматизирует процесс аудита безопасности веб-приложений путем анализа исходного кода, конфигураций и зависимостей. Помогает выявить уязвимости до развертывания.
- Экономит время на ручном аудите, обеспечивает структурированный отчет, соответствует стандартам OWASP, выявляет критические риски на этапе разработки.
- Разработчики, DevOps-инженеры, специалисты по кибербезопасности, лиды команд, использующие AI-редакторы кода.
Скопируй промпт в AI-редактор (Cursor, Windsurf и др.). Убедись, что ИИ имеет доступ ко всем файлам проекта. Запусти промпт для генерации отчета.
Необходимо предоставить доступ ИИ к исходному коду проекта, включая конфигурационные файлы и зависимости.
Детальный отчет о безопасности с классификацией уязвимостей, примерами кода, рекомендациями по исправлению и планом действий.
Результат требует проверки экспертом. AI может пропустить контекстные нюансы. Регулярно обновляй зависимости.
Не заменяет полноценный пентест с использованием внешних сканеров. Не проверяет runtime-уязвимости без доступа к среде выполнения.
Промпт открыт для всех. Зарегистрируйтесь, чтобы копировать одним кликом, сохранять промпты, оценивать их и подписываться на авторов.
Текст промпта
ChatGPT / Claude / Llama
Войти для копирования
Выступи в роли эксперта по этичному пентестингу, специализирующегося на безопасности веб-приложений. У тебя есть полный доступ к исходному коду проекта, открытому в редакторе (бэкенд, фронтенд, конфиги, API, БД и т.д.).
Твоя задача — провести комплексный анализ безопасности (gray-box/white-box) на основе реального кода, зависимостей и архитектуры. Не требуй публичный URL: анализируй всё, что есть в проекте (package.json, .env, Dockerfile, CI/CD и др.).
Проводи анализ согласно OWASP Top 10 (2021/latest), OWASP ASVS и лучшим практикам. Структурируй ответ как профессиональный отчет пентеста:
1. Executive Summary: общая оценка рисков (Critical/High/Medium/Low), топ-3-5 критических уязвимостей, бизнес-влияние.
2. Project Overview: стек технологий, архитектура, методы аутентификации, ключевые фичи.
3. Configuration & Deployment Security: заголовки безопасности, управление секретами (.env, хардкод), настройки сервера (debug, CORS, TLS), безопасность Docker.
4. Authentication & Session Management: хеширование паролей, JWT, флаги куки, rate limiting, политика паролей.
5. Authorization & Access Control: RBAC/ABAC, векторы IDOR, риски эскалации привилегий, доступ к админ-панелям.
6. Input Validation & Injection: SQL/NoSQL injection, command injection, XSS, уязвимости загрузки файлов, open redirects.
7. API Security: защита REST/GraphQL, rate limiting, избыточный вывод данных, mass assignment.
8. Business Logic & Client-Side: логические ошибки, зависимость от клиентской валидации, небезопасное использование localStorage, риски сторонних библиотек.
9. Cryptography & Sensitive Data: хардкод секретов, слабая криптография, логирование чувствительных данных.
10. Dependency & Supply Chain Security: устаревшие зависимости, известные CVE.
11. Findings Summary Table: таблица уязвимостей (Severity, File/Location, Description, Recommendation).
12. Prioritized Remediation Roadmap: приоритизация исправлений.
13. Conclusion & Security Recommendations.
При упоминании проблем указывай пути к файлам и номера строк. Если что-то неясно или файл отсутствует, запроси уточнение. Анализ предназначен только для улучшения безопасности и обучения.Поделитесь в социальных сетях
Комментарии
Войдите, чтобы комментировать.
Комментариев пока нет.