OWASP MCP 服务器

一个基于 WebSocket 的任务控制协议（MCP）服务器，用于 OWASP ZAP 安全扫描，支持实时控制和监控安全评估。

先决条件

• Python 3.8+
• OWASP ZAP 2.12.0+
• Java 运行环境（JRE）8+
• Sudo 或管理员权限（ZAP 所需）

为什么选择 MCP 服务器？

核心组件

• mcp_server.py - 动力源泉。首先启动它，它是连接到 OWASP ZAP 的核心扫描引擎。
• mcp_client.py - 运行 brains。一个强大的 SDK，其他组件用于与服务器通信（你不会直接使用此文件）。
• mcp_cli.py - 你的瑞士军刀式命令行工具。简单易用且功能强大。
• test_client.py - 学习和测试的理想工具。

快速开始

1. 安装 OWASP ZAP： 下载地址：https://www.zaproxy.org/download/

2. 设置项目：

   git clone https://github.com/shadsidd/Owasp-Zap-MCP-Server-Demo.git
   cd Owasp-Zap-MCP-Server-Demo
   python3 -m venv venv
   source venv/bin/activate  # 在 Windows 上使用 `venv\Scripts\activate`
   pip install -r requirements.txt
   

3. 启动 MCP 服务器：

   python mcp_server.py
   

4. 启动 ZAP： 打开终端并运行以下命令以开始 ZAP 的代理：

   zap-baseline.py -t http://目标URL:端口
   

5. 使用命令行工具： 例如，执行蜘蛛扫描：

   python mcp_client.py --scan-type spider --target http://目标URL:端口
   

示例文件

项目中包含以下示例文件：

• mcp_server.py - MCP 服务器的核心实现。
• mcp_client.py - 提供命令行接口以控制扫描。
• test_client.py - 测试连接性和基本功能。

注意事项

• 端口冲突：确保目标 URL 的端口未被其他应用程序占用。
• 权限问题：在某些系统上，你可能需要使用 sudo 来提升权限。
• 日志记录：服务器和客户端都会输出日志以帮助调试。

扫描类型

MCP 服务器支持多种扫描类型：

• 蜘蛛扫描（默认）：爬取网站内容，速度最快但发现的漏洞较少。
• 主动扫描：执行实际攻击测试，发现更多漏洞。
• 全面扫描：结合蜘蛛和主动扫描，提供最全面的结果。

通过以上步骤，你可以轻松设置并开始使用 OWASP MCP 服务器进行安全评估。