Güvenlik açığı raporları yazma

Her farklı güvenlik açığı için kendi içinde yeterli bir rapor oluşturmak üzere $codex-security:vulnerability-writeup kullanın. Codex Security tarama sonuçlarından başlayabilir veya sağlanan bulguları, ifşa notlarını, PoC'leri ve kaynak kodunu doğrudan kullanabilirsiniz. Codex Security taraması gerekli değildir.

Kanıtları hazırlama

İş akışına şunları sağlayın:

• İncelenecek bulgular, güvenlik açığı bildirim notları veya değerlendirme belgeleri.
• Hedef kaynak ağacı ve etkilenen revizyon veya sürüm.
• Mevcut PoC'ler, günlükler, izler, ekran görüntüleri veya tanılama çıktıları.
• Varsa düzeltme commit'leri veya farkları.

Codex, raporu yazmadan önce her iddiayı etkilenen kaynak koduyla karşılaştırarak kontrol eder. Kaynak kodu veya etkilenen revizyon mevcut değilse doğrulanmamış iddiaları belirten bir raporla devam edip etmeyeceğinize karar verin.

İş akışını çalıştırma

Şuna benzer bir istem gönderin:

Use $codex-security:vulnerability-writeup to create one self-contained report for each distinct vulnerability in [input paths]. Verify the claims against [source path and revision], preserve or improve the supplied PoCs, and write the reports to [output directory]. Use a local test environment for reproductions.

Codex, sağlanan materyalin envanterini çıkarır, aynı kök nedeni ve güvenlik açığı içeren yolu açıklayan raporları gruplandırır ve her ayrı güvenlik açığı için bir rapor dizini oluşturur. Her dizin bir Markdown raporu ve destekleyici PoC dosyaları mevcut olduğunda bir poc/ dizini içerir.

Her raporu inceleme

Bir raporu dağıtmadan önce şunları doğrulayın:

• Hatayı, saldırganın kontrolündeki giriş noktasından ihlal edilen güvenlik koşuluna ve etkisine kadar izler.
• Doğrulanmış davranışları varsayımlardan ve çözüme kavuşmamış kısıtlardan ayırır.
• Yolları, işlevleri ve etkilenen revizyonu belirten kaynak kodu alıntıları içerir.
• PoC uygulanabilir olduğunda PoC kaynak kodunu, derleme veya çalıştırma talimatlarını, temsili çıktıları ve güvenli kullanım sınırlamalarını içerir.
• Taşınabilir yollar kullanır ve dahili depolamaya veya yerel mutlak yollara bağımlı değildir.

Bir taramadaki raporları kullanma

Ayrıntılı güvenlik açığı raporları standart, derin ve değişiklik Taramalarında isteğe bağlıdır. Bunları talep ettiğinizde Codex her raporu findings/<slug>/<slug>.md konumuna yazar, destekleyici dosyaları findings/<slug>/poc/ altında depolar ve raporun bağlantısını report.md içinden verir.

Bir taramayı paylaşırken veya arşivlerken tarama dizininin tamamını bir arada tutun. Raporlar genelindeki kalıpları ele alan iyileştirmeler aramak için Güvenlik sıkılaştırması önerme ile devam edin.