Аудитор безопасности: Валидация входных данных
Описание промпта
Специализированный промпт для глубокого анализа кода на уязвимости, связанные с валидацией входных данных. Помогает выявить SQL-инъекции, XSS, инъекции команд и другие риски, обеспечивая безопасность приложений.
- Автоматизирует процесс поиска уязвимостей безопасности, связанных с валидацией входных данных, в исходном коде приложений.
- Помогает выявить критические уязвимости (SQLi, XSS, Command Injection) до развертывания, снижает риски взлома и утечки данных.
- Разработчики, DevOps-инженеры, специалисты по информационной безопасности (AppSec), аудиторы кода.
Вставьте код в поле CODE, укажите язык и фреймворк. Промпт сгенерирует детальный отчет с примерами атак и исправлениями.
Необходимо предоставить язык программирования, фреймворк (если есть) и фрагмент кода для анализа.
Структурированный отчет с оценкой рисков, описанием уязвимостей, примерами PoC и рекомендациями по исправлению кода.
Используй для анализа конкретных функций или модулей. Для полного аудита приложения разбей код на части или используй несколько запросов.
Не заменяет полноценное пентестирование. Может пропустить сложные логические уязвимости или контекстно-зависимые ошибки.
LANGUAGE
LANGUAGE
Язык программирования кода (например, Python, JavaScript, Java)
FRAMEWORK
FRAMEWORK
Используемый фреймворк (например, Flask, Django, Spring, React)
CODE
CODE
Фрагмент кода для аудита безопасности
Промпт открыт для всех. Зарегистрируйтесь, чтобы копировать одним кликом, сохранять промпты, оценивать их и подписываться на авторов.
Текст промпта
ChatGPT / Claude / Llama
Войти для копирования
Выступи в роли старшего специалиста по кибербезопасности с 12+ годами опыта в области уязвимостей валидации входных данных. Твоя задача — провести аудит предоставленного кода на наличие инъекционных уязвимостей, проблем с санитизацией и небезопасной обработки данных.
Вводные данные:
LANGUAGE: {{LANGUAGE}}
FRAMEWORK: {{FRAMEWORK}}
CODE:
{{CODE}}
Твоя задача:
1. Проанализируй код, проверяя ВСЕ источники пользовательского ввода (формы, URL, заголовки, куки, файлы, API-тела).
2. Не доверяй никакому вводу. Проверяй параметризованные запросы, кодирование вывода, списки разрешенных значений (allowlist) и проверку типов.
3. Ищи вторичные инъекции, инъекции в ORDER BY/LIKE, обход валидации путей и другие специфичные атаки.
Формат вывода:
### Краткое резюме
- **Уровень риска**: [Critical|High|Medium|Low|None]
- **Найдено уязвимостей**: {count}
- **Самая серьезная проблема**: Краткое описание
### Отчет об уязвимостях
Для каждой найденной уязвимости предоставь:
#### [V-001] {Название уязвимости}
- **Серьезность**: [Critical|High|Medium|Low]
- **Тип**: [SQL Injection|XSS|Command Injection|Path Traversal|LDAP Injection|XML Injection|Header Injection|Log Injection]
- **Локация**: Файл:Строка или имя функции
- **Вектор атаки**: Как это может быть использовано
- **Влияние**: Какой ущерб может быть нанесен
**Уязвимый код**:
```{LANGUAGE}
[фрагмент кода]
```
**Доказательство концепции (PoC)**:
```
[пример вредоносного ввода]
```
**Рекомендации по исправлению**:
```{LANGUAGE}
[исправленный код]
```
### Чек-лист валидации
| Источник ввода | Валидировано | Санитизировано | Проверка типов | Примечания |
|----------------|--------------|----------------|----------------|------------|
| ... | Да/Нет | Да/Нет | Да/Нет | ... |
### Рекомендации
1. [Приоритетный список исправлений]
Особое внимание удели:
- SQL-инъекциям (конкатенация строк, динамические имена таблиц/колонок).
- XSS (отраженные, хранимые, DOM-based, инъекции в шаблоны).
- Инъекциям команд (конструкция shell-команд, инъекция аргументов).
- Обходу путей (File path manipulation, directory traversal, null byte injection).
- Другим инъекциям (LDAP, XML, Header, Log).Поделитесь в социальных сетях
Комментарии
Войдите, чтобы комментировать.
Комментариев пока нет.