go-appsec/toolboxاختبار أمان التطبيقات التعاوني بين البشر والوكلاء عبر CLI وMCP
<img width="400" height="160" alt="go-appsec/toolbox" src="https://assets.kitploit.com/production/public/readmes/12195/899658aaebd95d74c5a2eb8eff64d2234300b95d43084d8dd1153d2edb6a9107.png" /> [](https://github.com/go-appsec/toolbox/blob/main/LICENSE) [](https://github.com/go-appsec/toolbox/actions/workflows/tests-main.yml) [-Significant%20AI%2C%20fully%20reviewed-1f77b4)](https://github.com/vibesdk/vibe-scale/blob/main/scale/vibe-1.md#v2-u0-t0-score-10--significant-ai-fully-reviewed) **أدوات اختبار أمان التطبيقات المبنية على MCP لوكيل البرمجة الخاص بك.** ليست أداة فحص — بل ورشة عمل تعاونية. يواجه الوكلاء صعوبة مع واجهات المستخدم وواجهات API ذات الحالة؛ وأنت بارع في كليهما. يتيح لك Sectool استكشاف تطبيق من خلال بروكسي الخاص به بينما يقوم الوكيل بتحليل ومعالجة نفس حركة المرور الموثّقة التي تولّدها. أنت تتولى التفاعلات المتعلقة بالمصادقة وواجهة المستخدم، بينما يستعلم الوكيل عن التدفقات، ويعدّل الطلبات، ويكتشف الانعكاسات، ويراقب التفاعلات خارج النطاق، ويجرّب تبديلات أخرى. الجمع بين قدراتكما يجعل المهام الروتينية أسهل، والمؤشرات الخفية أقل عرضة للتفويت، والاختبار المعقّد أكثر شمولاً. ## البدء ### 1. تثبيت sectool ```bash go install github.com/go-appsec/toolbox/sectool@latest ``` **لا تملك Go؟** نزّل الملف التنفيذي الخاص بمنصتك (Linux، macOS، Windows — amd64 و arm64) من [أحدث إصدار](https://github.com/go-appsec/toolbox/releases). ### 2. تشغيل خادم MCP (بروتوكول سياق النموذج) ```bash sectool mcp ``` يبدأ هذا خادم MCP على المنفذ 9119 مع بروكسي HTTP مدمج على المنفذ 8080. ### 3. تهيئة المتصفح وجّه إعدادات البروكسي في متصفحك إلى `127.0.0.1:8080` (أو المنفذ المحدد عبر `--proxy-port`). لاعتراض HTTPS، ثبّت شهادة CA من `~/.sectool/ca.pem` (تُنشأ تلقائيًا عند أول تشغيل). تقبلها معظم المتصفحات عبر إعدادات الشهادات الخاصة بها؛ على macOS يمكنك أيضًا إضافتها إلى سلسلة مفاتيح النظام. **تستخدم Burp؟** اتبع [إعدادات البروكسي في Burp](https://portswigger.net/burp/documentation/desktop/external-browser-config) بدلاً من ذلك، ثم شغّل sectool مع `sectool mcp --burp`. ### 4. ربط الوكيل الخاص بك **Claude Code:** ```bash claude mcp add --transport http sectool http://127.0.0.1:9119/mcp ``` **Codex** (`~/.codex/config.toml`): ```toml [mcp_servers.sectool] url = "http://127.0.0.1:9119/mcp" ``` ### 5. التعاون اعمل مع الوكيل لوضع خطة اختبار وتنفيذها معًا. يمكن للوكيل الاستعلام عن سجل البروكسي، وإعادة تشغيل الطلبات المعدّلة، والزحف لاكتشاف نقاط النهاية، واختبار التفاعلات خارج النطاق بينما تتولى أنت الإجراءات المعتمدة على المتصفح مثل المصادقة أو التفاعل مع واجهة المستخدم ومراجعتها. ## خيارات الخادم ### خلفيات البروكسي **الأصلي:** بروكسي مدمج بدقة على مستوى الحزمة مع دعم HTTP/1.1 و HTTP/2 و WebSocket. مصمم ليكون بقدرة Burp في اختبار MITM. ملف تنفيذي واحد يوفر خادم MCP والبروكسي وواجهة سطر الأوامر — مكتفٍ ذاتيًا بالكامل وقابل للاستخدام في البيئات بلا واجهة رسومية. **Burp (اختياري):** إذا كنت تفضّل واجهة رسومية لمراجعة إجراءات الوكيل أو لديك Burp قيد التشغيل بالفعل، ثبّت إضافة MCP من BApp Store وتأكد من تشغيل خادم MCP على `http://127.0.0.1:9876/`. | الخيار | الوصف | |--------|-------------| | (افتراضي) | اكتشاف تلقائي: يحاول Burp MCP أولاً، ثم يتراجع إلى البروكسي الأصلي | | `--proxy-port 8080` | فرض البروكسي الأصلي على المنفذ المحدد | | `--burp` | فرض Burp MCP (يفشل إذا لم يكن متاحًا) | ### خيارات الجلسة #### سير العمل يحدد Sectool تلقائيًا سير العمل المناسب عندما يستدعي الوكيل أداة `workflow` في بداية الجلسة. يمكنك تخطي هذه الخطوة وتوفير الرموز بتحديد سير العمل مسبقًا: ```bash sectool mcp # Default: agent selects task type via workflow tool sectool mcp --workflow explore # Pre-set exploration mode sectool mcp --workflow test-report # Pre-set validation mode sectool mcp --workflow none # No workflow instructions sectool mcp --workflow multi # Multiple agents share the server ``` | الوضع | الوصف | |------|-------------| | (افتراضي) | يختار الوكيل نوع المهمة عبر استدعاء أداة `workflow`، ويتلقى تعليمات التعاون | | `explore` | اختبار أمني استكشافي؛ جميع الأدوات متاحة | | `test-report` | التحقق من تقرير ثغرة محدد؛ أدوات الزحف مستبعدة | | `none` | لا توجد تعليمات لسير العمل، جميع الأدوات متاحة فورًا | | `multi` | للحالات التي يتشارك فيها عدة مستخدمين أو وكلاء الخادم؛ يخفي الميزات التي قد يربك فيها وكيل آخر | توجّه تعليمات سير العمل الوكلاء نحو الاختبار التعاوني بدلاً من محاولة القيام بكل شيء بشكل مستقل أو إرشادك خلال عملية دون إضافة قيمة. إذا كانت لديك أفكار لتحسين تعاون الوكيل، [افتح مشكلة](https://github.com/go-appsec/toolbox/issues). #### الملاحظات تتيح علامة `--notes` أداتي `notes_save` و `notes_list` لحفظ الملاحظات المرتبطة بالتدفقات. معطّلة افتراضيًا للحفاظ على استهلاك السياق عند الحد الأدنى للجلسات القصيرة. فعّلها عندما تتوقع نتائج متعددة أو ضغط المحادثة. ### وسائل نقل MCP يعرض الخادم نقطتي نهاية: - `/mcp` - Streamable HTTP (موصى به) - `/sse` - SSE (قديم، للعملاء الأقدم) ## مثال على استخدام واجهة سطر الأوامر تتشارك واجهة سطر الأوامر الحالة مع الوكيل وتوفر واجهة ملائمة للبشر للمراجعة وإعادة التشغيل والبرمجة النصية. جميع أوامر واجهة سطر الأوامر تقابل أدوات MCP، لذا يتشارك الوكيل نفس الحالة. ```bash # Review what the proxy captured while you browsed sectool proxy summary sectool proxy list --host example.com sectool proxy cookies --name session_id # Crawl an app to discover endpoints and forms sectool crawl create --url https://example.com sectool crawl summary <session_id> # Replay a captured request with modifications sectool replay send --flow <flow_id> --set-header "X-Test: value" # Set up out-of-band interaction testing and check for callbacks sectool oast create sectool oast poll <oast_id> sectool oast get <event_id> # Compare two flows, detect reflections, inspect JWTs sectool diff <flow_a> <flow_b> --scope response sectool reflected <flow_id> sectool jwt <token> # Export a flow, edit it offline, and resend sectool proxy export <flow_id> # ... edit ./sectool-requests/<flow_id>/request.http ... sectool replay send --bundle <flow_id> ``` استخدم `sectool <command> --help` للاطلاع على الخيارات التفصيلية. ## الميزات الرئيسية - **بروكسي بدقة الحزمة** - اعتراض MITM لـ HTTP/1.1 و HTTP/2 مع الحفاظ على ترتيب الترويسات وحالة الأحرف والشذوذات البروتوكولية - **إعادة التشغيل والتعديل** - إعادة كتابة حركة المرور الحية عبر قواعد المطابقة/الاستبدال أو إعادة إرسال الطلبات الملتقطة مع تعديلات عبر واجهة API محسّنة للوكلاء - **مقارنة التدفقات** - مقارنة منظمة واعية بنوع المحتوى بين تدفقين (على مستوى مسار JSON، نص موحّد، حجم ثنائي) للتحقق السريع من التقارير - **تحليل سطح JavaScript** - استخراج نقاط النهاية والمسارات والأسرار من حزم JavaScript/HTML، ثم توسيع أي موقع استدعاء إلى طلباته القابلة للاستخدام - **كشف الانعكاسات** - العثور على قيم معاملات الطلب المنعكسة في الاستجابات عبر متغيرات ترميز متعددة لإبراز نقاط الحقن - **OAST** - اختبار التفاعلات خارج النطاق عبر Interactsh؛ إنشاء النطاقات، والاستعلام عن استدعاءات DNS/HTTP/SMTP - **فحص إعادة التوجيه** - يمكن لجلسات OAST إرجاع إعادة توجيه 307 للكشف عما إذا كان الهدف يتبع إعادة التوجيه، مفيد لسلاسل SSRF وتجاوزات التحقق - **الزحف** - اكتشاف نقاط النهاية والنماذج وبنية التطبيق؛ البدء من سجل البروكسي أو عناوين URL - **دعم WebSocket** - اعتراض على مستوى الإطار، وتمرير عبر البروكسي، ومطابقة/استبدال لرسائل WebSocket - **أوضاع سير العمل** - إرشاد الوكيل الخاص بالمهمة (explore، test-report) لتحسين جودة التعاون وتقليل هدر الرموز - **أدوات الترميز** - ترميز/فك ترميز URL و Base64 و HTML، والتجزئة (MD5/SHA/HMAC)، وفحص JWT - **تكامل Burp Suite** - واجهة رسومية اختيارية عبر إضافة Burp MCP؛ أو التشغيل بالكامل بلا واجهة رسومية مع البروكسي الأصلي ## الفحص الآلي اقرن sectool مع [sidenuclei](https://github.com/go-appsec/toolbox-sidenuclei)، وهو مرافق من الفريق الأول يشغّل [Nuclei](https://github.com/projectdiscovery/nuclei) ضد كل نقطة نهاية تلمسها. شغّل sectool مع `--notes`، وأرفق `sidenuclei` بجانب جلستك، وسيفحص كل نقطة نهاية باستخدام الطلب الملتقط الفعلي، فتُنفَّذ الاختبارات بمعاملاتك وملفات تعريف الارتباط وجلستك الموثّقة الفعلية. تظهر النتائج كملاحظات `finding` مرتبطة بالتدفق الذي أثارها، مما يمنحك تغطية إضافية بينما تركز أنت ووكيلك على الاختبار اليدوي. ## دعم البروتوكولات المخصصة بالإضافة إلى HTTP و WebSocket، يدعم sectool البروتوكولات المخصصة والثنائية (عادةً طلب / استجابة) عبر نموذج محوّل مرافق. اكتب محوّلًا للاتصال والتواصل باستخدام واجهة API الخاصة بالمرافق. تصل حركة المرور من المرافق إلى نفس الجدول الزمني الموحّد للتدفقات، لذا تعمل `flow_get` و `diff_flow` و `replay_send` وأدوات أخرى دون تعديل. يمكن كتابة المحوّلات بأي لغة عبر واجهة JSON-RPC 2.0، أو بلغة Go مع عميل SDK الذي يتولى التسجيل والتخزين المؤقت للقواعد وإصدار التدفقات. توثّق [حزمة SDK والبروتوكول للمرافق](https://github.com/go-appsec/toolbox/blob/main/sidecar/README.md) كليهما.
