CyberMCP - 使用 MCP 进行网络安全 API 测试

CyberMCP 是一个模型上下文协议 (MCP) 服务器，专为测试后端 API 的安全漏洞而设计。它提供了一套专门的工具和资源，可供 LLM 用于识别 API 中常见的安全问题。

功能

• 身份验证漏洞测试: 检查 JWT 漏洞、身份验证绕过和弱身份验证机制
• 注入测试: 测试 SQL 注入、XSS 和其他注入漏洞
• 数据泄露测试: 识别敏感数据暴露问题
• 速率限制测试: 测试速率限制绕过和 DDoS 漏洞
• 安全标头测试: 检查缺失或配置错误的安全标头
• 综合资源: 访问 API 安全测试的清单和指南
• 身份验证支持: 多种身份验证方法来测试受保护的端点

项目结构

CyberMCP/
├── src/
│   ├── tools/           # 用于安全测试的 MCP 工具
│   ├── resources/       # MCP 资源（清单、指南）
│   ├── transports/      # 自定义传输实现
│   ├── utils/           # 实用函数和身份验证管理
│   └── index.ts         # 主要入口点
├── package.json         # 依赖项和脚本
├── tsconfig.json        # TypeScript 配置
└── README.md            # 此文件

安装

1. 克隆存储库：

   git clone https://github.com/your-username/CyberMCP.git
   cd CyberMCP
   

2. 安装依赖项：

   npm install
   

3. 构建项目：

   npm run build
   

用法

运行 MCP 服务器

您可以使用 stdio 传输（默认）或 HTTP 传输来运行服务器：

使用 stdio 传输（用于与 LLM 平台集成）：

npm start

使用 HTTP 传输（用于本地开发和测试）：

TRANSPORT=http PORT=3000 npm start

连接到服务器

MCP 服务器可以连接到任何 MCP 客户端，包括支持模型上下文协议的 LLM 平台。

安全工具

身份验证

CyberMCP 支持多种身份验证方法来测试受保护的 API：

• 基本身份验证: 使用用户名和密码设置 HTTP 基本身份验证
• 令牌身份验证: 使用不记名令牌、JWT 或自定义令牌格式
• OAuth2 身份验证: 完整的 OAuth2 流程支持，具有不同的授权类型
• 自定义 API 登录: 针对任何登录 API 端点进行身份验证

身份验证工具：

• basic_auth: 使用用户名/密码进行身份验证
• token_auth: 设置基于令牌的身份验证
• oauth2_auth: 执行 OAuth2 身份验证
• api_login: 使用自定义 API 端点登录
• auth_status: 检查当前身份验证状态
• clear_auth: 清除当前身份验证状态

身份验证测试

• JWT 漏洞检查: 分析 JWT 令牌是否存在安全问题
• 身份验证绕过检查: 测试端点是否存在身份验证绕过漏洞

注入测试

• SQL 注入检查: 测试参数是否存在 SQL 注入漏洞
• XSS 检查: 测试是否存在跨站脚本漏洞

数据泄露测试

• 敏感数据检查: 识别泄露的 PII、凭据和敏感信息
• 路径遍历检查: 测试目录遍历漏洞

安全标头测试

• 安全标头检查: 分析 HTTP 标头以获得安全最佳实践

资源

清单

通过 cybersecurity://checklists/{category} 访问安全清单，其中 category 可以是：

• authentication
• injection
• data_leakage
• rate_limiting
• general

指南

通过 guides://api-testing/{topic} 访问详细的测试指南，其中 topic 可以是：

• jwt-testing
• auth-bypass
• sql-injection
• xss
• rate-limiting

API 测试所需的信息

为了有效地测试 API 的安全漏洞，您需要：

1. API 端点: 要测试的端点的 URL
2. 身份验证信息: 用于访问受保护端点的凭据或令牌
3. 参数名称: 接受用户输入的参数的名称
4. 测试数据: 参数的示例有效数据
5. 预期行为: 正常响应应该是什么样子
6. 身份验证流程: 目标 API 中的身份验证如何工作

身份验证示例

基本身份验证

basic_auth:
  username: "admin"
  password: "secure_password"

令牌身份验证

token_auth:
  token: "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..."
  token_type: "Bearer"
  expires_in: 3600

OAuth2 身份验证

oauth2_auth:
  client_id: "client_123"
  client_secret: "secret_456"
  token_url: "https://example.com/oauth/token"
  grant_type: "client_credentials"
  scope: "read write"

自定义 API 登录

api_login:
  login_url: "https://example.com/api/login"
  credentials: 
    username: "admin"
    password: "secure_password"
  token_path: "data.access_token"

许可证

MIT