toolbox v0.2.0

أدوات اختبار أمان التطبيقات المبنية على MCP لوكيل البرمجة الخاص بك.

ليست أداة فحص — بل ورشة عمل تعاونية. يواجه الوكلاء صعوبة مع واجهات المستخدم وواجهات API ذات الحالة؛ وأنت بارع في كليهما. يتيح لك Sectool استكشاف تطبيق من خلال بروكسي الخاص به بينما يقوم الوكيل بتحليل ومعالجة نفس حركة المرور الموثّقة التي تولّدها.

أنت تتولى التفاعلات المتعلقة بالمصادقة وواجهة المستخدم، بينما يستعلم الوكيل عن التدفقات، ويعدّل الطلبات، ويكتشف الانعكاسات، ويراقب التفاعلات خارج النطاق، ويجرّب تبديلات أخرى. الجمع بين قدراتكما يجعل المهام الروتينية أسهل، والمؤشرات الخفية أقل عرضة للتفويت، والاختبار المعقّد أكثر شمولاً.

البدء

1. تثبيت sectool

go install github.com/go-appsec/toolbox/sectool@latest

لا تملك Go؟ نزّل الملف التنفيذي الخاص بمنصتك (Linux، macOS، Windows — amd64 و arm64) من أحدث إصدار.

2. تشغيل خادم MCP (بروتوكول سياق النموذج)

sectool mcp

يبدأ هذا خادم MCP على المنفذ 9119 مع بروكسي HTTP مدمج على المنفذ 8080.

3. تهيئة المتصفح

وجّه إعدادات البروكسي في متصفحك إلى 127.0.0.1:8080 (أو المنفذ المحدد عبر --proxy-port).

لاعتراض HTTPS، ثبّت شهادة CA من ~/.sectool/ca.pem (تُنشأ تلقائيًا عند أول تشغيل). تقبلها معظم المتصفحات عبر إعدادات الشهادات الخاصة بها؛ على macOS يمكنك أيضًا إضافتها إلى سلسلة مفاتيح النظام.

تستخدم Burp؟ اتبع إعدادات البروكسي في Burp بدلاً من ذلك، ثم شغّل sectool مع sectool mcp --burp.

4. ربط الوكيل الخاص بك

Claude Code:

claude mcp add --transport http sectool http://127.0.0.1:9119/mcp

Codex (~/.codex/config.toml):

[mcp_servers.sectool]
url = "http://127.0.0.1:9119/mcp"

5. التعاون

اعمل مع الوكيل لوضع خطة اختبار وتنفيذها معًا. يمكن للوكيل الاستعلام عن سجل البروكسي، وإعادة تشغيل الطلبات المعدّلة، والزحف لاكتشاف نقاط النهاية، واختبار التفاعلات خارج النطاق بينما تتولى أنت الإجراءات المعتمدة على المتصفح مثل المصادقة أو التفاعل مع واجهة المستخدم ومراجعتها.

خيارات الخادم

خلفيات البروكسي

الأصلي: بروكسي مدمج بدقة على مستوى الحزمة مع دعم HTTP/1.1 و HTTP/2 و WebSocket. مصمم ليكون بقدرة Burp في اختبار MITM. ملف تنفيذي واحد يوفر خادم MCP والبروكسي وواجهة سطر الأوامر — مكتفٍ ذاتيًا بالكامل وقابل للاستخدام في البيئات بلا واجهة رسومية.

Burp (اختياري): إذا كنت تفضّل واجهة رسومية لمراجعة إجراءات الوكيل أو لديك Burp قيد التشغيل بالفعل، ثبّت إضافة MCP من BApp Store وتأكد من تشغيل خادم MCP على http://127.0.0.1:9876/.

الخيار	الوصف
(افتراضي)	اكتشاف تلقائي: يحاول Burp MCP أولاً، ثم يتراجع إلى البروكسي الأصلي
--proxy-port 8080	فرض البروكسي الأصلي على المنفذ المحدد
--burp	فرض Burp MCP (يفشل إذا لم يكن متاحًا)

خيارات الجلسة

سير العمل

يحدد Sectool تلقائيًا سير العمل المناسب عندما يستدعي الوكيل أداة workflow في بداية الجلسة. يمكنك تخطي هذه الخطوة وتوفير الرموز بتحديد سير العمل مسبقًا:

sectool mcp                        # Default: agent selects task type via workflow tool
sectool mcp --workflow explore     # Pre-set exploration mode
sectool mcp --workflow test-report # Pre-set validation mode
sectool mcp --workflow none        # No workflow instructions
sectool mcp --workflow multi       # Multiple agents share the server

الوضع	الوصف
(افتراضي)	يختار الوكيل نوع المهمة عبر استدعاء أداة workflow، ويتلقى تعليمات التعاون
explore	اختبار أمني استكشافي؛ جميع الأدوات متاحة
test-report	التحقق من تقرير ثغرة محدد؛ أدوات الزحف مستبعدة
none	لا توجد تعليمات لسير العمل، جميع الأدوات متاحة فورًا
multi	للحالات التي يتشارك فيها عدة مستخدمين أو وكلاء الخادم؛ يخفي الميزات التي قد يربك فيها وكيل آخر

توجّه تعليمات سير العمل الوكلاء نحو الاختبار التعاوني بدلاً من محاولة القيام بكل شيء بشكل مستقل أو إرشادك خلال عملية دون إضافة قيمة. إذا كانت لديك أفكار لتحسين تعاون الوكيل، افتح مشكلة.

الملاحظات

تتيح علامة --notes أداتي notes_save و notes_list لحفظ الملاحظات المرتبطة بالتدفقات. معطّلة افتراضيًا للحفاظ على استهلاك السياق عند الحد الأدنى للجلسات القصيرة. فعّلها عندما تتوقع نتائج متعددة أو ضغط المحادثة.

وسائل نقل MCP

يعرض الخادم نقطتي نهاية:

• /mcp - Streamable HTTP (موصى به)
• /sse - SSE (قديم، للعملاء الأقدم)

مثال على استخدام واجهة سطر الأوامر

تتشارك واجهة سطر الأوامر الحالة مع الوكيل وتوفر واجهة ملائمة للبشر للمراجعة وإعادة التشغيل والبرمجة النصية. جميع أوامر واجهة سطر الأوامر تقابل أدوات MCP، لذا يتشارك الوكيل نفس الحالة.

# Review what the proxy captured while you browsed
sectool proxy summary
sectool proxy list --host example.com
sectool proxy cookies --name session_id

# Crawl an app to discover endpoints and forms
sectool crawl create --url https://example.com
sectool crawl summary <session_id>

# Replay a captured request with modifications
sectool replay send --flow <flow_id> --set-header "X-Test: value"

# Set up out-of-band interaction testing and check for callbacks
sectool oast create
sectool oast poll <oast_id>
sectool oast get <event_id>

# Compare two flows, detect reflections, inspect JWTs
sectool diff <flow_a> <flow_b> --scope response
sectool reflected <flow_id>
sectool jwt <token>

# Export a flow, edit it offline, and resend
sectool proxy export <flow_id>
# ... edit ./sectool-requests/<flow_id>/request.http ...
sectool replay send --bundle <flow_id>

استخدم sectool <command> --help للاطلاع على الخيارات التفصيلية.

الميزات الرئيسية

• بروكسي بدقة الحزمة - اعتراض MITM لـ HTTP/1.1 و HTTP/2 مع الحفاظ على ترتيب الترويسات وحالة الأحرف والشذوذات البروتوكولية
• إعادة التشغيل والتعديل - إعادة كتابة حركة المرور الحية عبر قواعد المطابقة/الاستبدال أو إعادة إرسال الطلبات الملتقطة مع تعديلات عبر واجهة API محسّنة للوكلاء
• مقارنة التدفقات - مقارنة منظمة واعية بنوع المحتوى بين تدفقين (على مستوى مسار JSON، نص موحّد، حجم ثنائي) للتحقق السريع من التقارير
• تحليل سطح JavaScript - استخراج نقاط النهاية والمسارات والأسرار من حزم JavaScript/HTML، ثم توسيع أي موقع استدعاء إلى طلباته القابلة للاستخدام
• كشف الانعكاسات - العثور على قيم معاملات الطلب المنعكسة في الاستجابات عبر متغيرات ترميز متعددة لإبراز نقاط الحقن
• OAST - اختبار التفاعلات خارج النطاق عبر Interactsh؛ إنشاء النطاقات، والاستعلام عن استدعاءات DNS/HTTP/SMTP
• فحص إعادة التوجيه - يمكن لجلسات OAST إرجاع إعادة توجيه 307 للكشف عما إذا كان الهدف يتبع إعادة التوجيه، مفيد لسلاسل SSRF وتجاوزات التحقق
• الزحف - اكتشاف نقاط النهاية والنماذج وبنية التطبيق؛ البدء من سجل البروكسي أو عناوين URL
• دعم WebSocket - اعتراض على مستوى الإطار، وتمرير عبر البروكسي، ومطابقة/استبدال لرسائل WebSocket
• أوضاع سير العمل - إرشاد الوكيل الخاص بالمهمة (explore، test-report) لتحسين جودة التعاون وتقليل هدر الرموز
• أدوات الترميز - ترميز/فك ترميز URL و Base64 و HTML، والتجزئة (MD5/SHA/HMAC)، وفحص JWT
• تكامل Burp Suite - واجهة رسومية اختيارية عبر إضافة Burp MCP؛ أو التشغيل بالكامل بلا واجهة رسومية مع البروكسي الأصلي

الفحص الآلي