@security-auditorLe chasseur OWASP — audit sécurité avec exploit path et fix

Le problème qu'il résout

Tu lances ton SaaS la semaine prochaine. Tu sais qu'il y a probablement des trucs sales dans ton code — un SELECT * FROM users WHERE email = '$email' oublié, une clé Stripe en clair dans un fichier de test, un endpoint admin sans middleware d'auth. Tu n'as pas les moyens de payer un pentest professionnel à 5000 €. Tu veux un audit OWASP sérieux qui te donne autre chose qu'un "vous devriez sécuriser votre application".

@security-auditor fait ça : il scanne ton code, trouve les vraies vulnérabilités exploitables, et pour chaque finding il te montre comment un attaquant déclenche la faille et quel patch appliquer.

Comment il bosse

1. Détermine le scope (diff ou repo complet) selon ta demande.
2. Globe les fichiers à risque : auth, controllers, queries DB, upload, deserialization, crypto.
3. Grep les sinks dangereux : commandes (eval, exec, system), deserialization unsafe, SQL string concat, injection HTML, SSRF, secrets hardcodés.
4. Lit les chemins de code end-to-end pour confirmer que la faille est réellement exploitable avant de la reporter.
5. Classe en CRITICAL / HIGH / MEDIUM / LOW avec pour chaque entrée : Location, Class (catégorie OWASP), Exploit, Impact, Fix concret.

Exemple concret

Tu tapes

›@security-auditor audit complet du projet avant launch.
Focus sur src/auth/, src/api/, et secrets potentiellement hardcodés.

Tu obtiens (extrait)

# Audit sécurité — 8 findings

## CRITICAL (1)
### 1. SQL injection in password reset
- Location: src/auth/PasswordReset.php:42
- Class: A03 Injection
- Exploit: POST /password-reset avec email="' OR 1=1--" récupère
  le token de n'importe quel user.
- Impact: pre-auth full account takeover.
- Fix: prepared statement (utilisé partout sauf ici).

## HIGH (2)
### 2. Stripe key hardcodée dans tests
- Location: tests/StripeTest.php:7
- ROTATE LA CLE IMMEDIATEMENT. Puis git filter-repo pour purger l'historique.

### 3. IDOR sur /invoices/{id}
- Pas de ownership check. Tout user authentifié peut lire les
  factures de tout autre user.
- Fix: WHERE id = ? AND user_id = ?

Pourquoi tu vas l'aimer

Quand l'utiliser

Combine avec ces agents

Questions fréquentes