Bugsy

Bugsy هي أداة واجهة سطر أوامر (CLI) توفر إصلاحًا تلقائيًا للثغرات الأمنية في الكود الخاص بك. وهي إصدار المجتمع من Mobb، أول أداة شاملة ومستقلة للبائع لإصلاح الثغرات الأمنية تلقائيًا. تم تصميم Bugsy لمساعدة المطورين على تحديد وإصلاح الثغرات الأمنية في الكود بسرعة.

ما هو Mobb؟

Mobb هي أول أداة شاملة ومستقلة للبائع لإصلاح الثغرات الأمنية تلقائيًا. تستوعب نتائج SAST من Checkmarx، CodeQL (GitHub Advanced Security)، OpenText Fortify، و Snyk وتنتج إصلاحات للكود ليقوم المطورون بمراجعتها وإضافتها إلى الكود الخاص بهم.

ماذا تفعل Bugsy؟

لدى Bugsy وضعان - المسح (Scan) (لا حاجة لتقرير SAST) والتحليل (Analyze) (يحتاج المستخدم إلى تقديم تقرير SAST مسبق الإنشاء من إحدى أدوات SAST المدعومة).

المسح (Scan)

• يستخدم أدوات Checkmarx أو Snyk CLI لإجراء فحص SAST على مستودع مفتوح المصدر على GitHub/GitLab/ADO
• يحلل تقرير الثغرات لتحديد المشكلات التي يمكن إصلاحها تلقائيًا
• ينتج إصلاحات الكود ويوجه المستخدم إلى صفحة تقرير الإصلاح على منصة Mobb

التحليل (Analyze)

• يحلل تقرير ثغرات من Checkmarx/CodeQL/Fortify/Snyk لتحديد المشكلات التي يمكن إصلاحها تلقائيًا
• ينتج إصلاحات الكود ويوجه المستخدم إلى صفحة تقرير الإصلاح على منصة Mobb

إخلاء مسؤولية

هذا إصدار مجتمعي يحلل فقط المستودعات العامة على GitHub. تحليل المستودعات الخاصة مسموح به لفترة زمنية محدودة. لا تكتشف Bugsy أي ثغرات في الكود الخاص بك، بل تستخدم النتائج التي تم اكتشافها بواسطة أدوات SAST المذكورة أعلاه.

الاستخدام

واجهة سطر الأوامر

يمكنك ببساطة تشغيل Bugsy من سطر الأوامر باستخدام npx:

npx mobbdev

سيظهر لك مساعدة استخدام Bugsy:

Bugsy - Trusted, Automatic Vulnerability Fixer 🕵️‍♂️

Usage:
mobbdev <command> [options]


Commands:
  mobbdev scan     Scan your code for vulnerabilities, get automated fixes right away.
  mobbdev analyze  Provide a vulnerability report and relevant code repository, get automated fixes right away.

Options:
  -h, --help  Show help                                                                                        [boolean]

Examples:
  mobbdev scan -r https://github.com/WebGoat/WebGoat  Scan an existing repository

Made with ❤️ by Mobb

لتشغيل فحص SAST جديد على مستودع والحصول على الإصلاحات، قم بتشغيل أمر Bugsy Scan. مثال:

npx mobbdev scan --repo https://github.com/mobb-dev/simple-vulnerable-java-project

للحصول على إصلاحات لتقرير SAST مسبق الإنشاء، قم بتشغيل أمر Bugsy Analyze. مثال: npx mobbdev analyze --scan-file sast_results.json --repo https://github.com/mobb-dev/simple-vulnerable-java-project

ستقوم Bugsy تلقائيًا بإنشاء إصلاح لكل ثغرة مدعومة تم تحديدها في النتائج، وتوجيه المطور لمراجعة الإصلاحات وإضافتها إلى الكود.

لرؤية جميع الخيارات التي تسمح بها Bugsy، استخدم أوامر Scan أو Analyze مع الخيار -h:

npx mobbdev scan -h
npx mobbdev analyze -h

خادم بروتوكول سياق النموذج (MCP)

يمكن أيضًا استخدام Bugsy كخادم MCP، مما يسمح للمساعدين الذكاء الاصطناعي مثل Claude بفحص وإصلاح الثغرات تلقائيًا في مستودعات الكود الخاصة بك.

المتطلبات الأساسية

1. مفتاح API: تحتاج إلى مفتاح API من Mobb لاستخدام وظيفة خادم MCP

   • سجل في mobb.ai للحصول على مفتاح API الخاص بك
   • قم بتعيين متغير البيئة API_KEY: export API_KEY=your_api_key_here

2. مستودع Git محلي: يقوم خادم MCP بتحليل مستودعات git التي تحتوي على تغييرات غير ملتزمة (uncommitted)

   • تأكد من أن الكود الخاص بك موجود في مستودع git محلي
   • لديك بعض الملفات المعدلة أو المضافة أو التي في حالة staged لتحليلها

التثبيت

قم بتشغيل mobb-mcp من سطر الأوامر:

npx mobbdev mcp

الإعداد

أضف Mobb MCP إلى إعدادات عميل MCP في Cursor: API_URL مطلوب فقط إذا لم تكن تستخدم https://app.mobb.ai

{
  "mcpServers": {
    "mobb-mcp": {
      "command": "npx",
      "args": ["mobbdev", "mcp"],
      "env": {
        "API_KEY": "your_mobb_api_key_here",
        "API_URL": "optional__your_mobb_api_url_here",
        "MVS_AUTO_FIX": "true"
      }
    }
  }
}

متغيرات البيئة:

• API_KEY: مفتاح API الخاص بك لـ Mobb (مطلوب)
• API_URL: عنوان URL مخصص لـ Mobb API (اختياري، الإعداد الافتراضي https://app.mobb.ai)
• MVS_AUTO_FIX: تجاوز إعداد الإصلاح التلقائي - اضبطه على "true" أو "false" لفرض تمكين/تعطيل تطبيق الإصلاح التلقائي بغض النظر عن إعداد قاعدة بيانات المستخدم (اختياري)

الاستخدام

بمجرد الإعداد، يمكنك استخدام خادم MCP من خلال مساعد الذكاء الاصطناعي الخاص بك:

1. اطلب من Claude فحص الثغرات:

   root@kitploit:~

   run a scan with mobb-mcp
   

   أو

   root@kitploit:~

   run fix-vulnerabilities mcp tool
   

2. سيقوم خادم MCP بـ:

   • التحقق من صحة مسار المستودع
   • التحقق من وجود تغييرات git (الملفات المعدلة أو المضافة أو staged)
   • رفع الملفات المعدلة للتحليل
   • إنشاء إصلاحات تلقائية للثغرات المكتشفة
   • إرجاع توصيات الإصلاح التفصيلية

أدوات MCP المتاحة

• fix_vulnerabilities: يفحص التغييرات الحالية في الكود ويعيد إصلاحات للثغرات المحتملة
  • المعامل: path (سلسلة نصية) - المسار إلى مستودع git المحلي
  • الإرجاع: إصلاحات ثغرات مفصلة مع تصحيحات الكود والشروحات

مثال لسير عمل MCP

1. قم بإجراء تغييرات على الكود الخاص بك
2. قم بإضافة الملفات إلى staged أو تعديلها في git
3. اسأل مساعد الذكاء الاصطناعي: "هل يمكنك فحص الكود الخاص بي بحثًا عن ثغرات أمنية؟"
4. سيقوم المساعد باستخدام خادم MCP لتحليل تغييراتك
5. استلم توصيات الإصلاح التفصيلية مع تصحيحات الكود

استكشاف الأخطاء وإصلاحها

• "API_KEY environment variable is not set": تأكد من تعيين مفتاح API الخاص بك لـ Mobb
• "Path is not a valid git repository": تأكد من أنك تشير إلى مستودع git صالح
• "No changed files found": تأكد من وجود ملفات معدلة أو مضافة أو staged في المستودع الخاص بك

استخدام Bugsy كجزء من خط أنابيب CI/CD

إذا كنت تستخدم فحوصات SAST كجزء من خط أنابيب CI/CD، فيمكن إضافة Bugsy بسهولة لتوفير إصلاح فوري لكل مشكلة يتم اكتشافها. فيما يلي مثال بسيط لأمر سطر أوامر سيعمل على تشغيل Bugsy في خط الأنابيب الخاص بك:

npx mobbdev analyze --ci --scan-file $SAST_RESULTS_FILENAME --repo $CI_PROJECT_URL --ref $CI_COMMIT_REF_NAME --api-key $MOBB_API_KEY

وضع الاستقصاء (Polling Mode)

بشكل افتراضي، تستخدم Bugsy اتصالات WebSocket لتحديثات الحالة في الوقت الفعلي أثناء التحليل. ومع ذلك، قد تمنع بعض بيئات البروكسي أو جدران الحماية اتصالات WebSocket. في هذه الحالات، يمكنك استخدام العلم --polling لاستخدام استقصاء HTTP بدلاً من ذلك:

npx mobbdev analyze --scan-file report.json --repo https://github.com/org/repo --polling

متى تستخدم --polling:

• شبكتك تمنع اتصالات WebSocket (ws:// أو wss://)
• كنت خلف بروكسي مؤسسي لا يدعم WebSocket
• تواجه مهلات اتصال مع وضع WebSocket الافتراضي

خصائص الاستقصاء:

• فترة الاستقصاء: 5 ثوانٍ
• المهلة: 30 دقيقة
• زمن استجابة أعلى قليلاً مقارنة بوضع WebSocket، لكنه يعمل في البيئات المقيدة

المساهمة

قم بتثبيت التبعيات وتشغيل الاختبارات:

pnpm install

# or use npm run build:dev to watch for changes
pnpm run build

# or use npm test:watch to watch for changes
pnpm run test

التصحيح (Debugging)

إذا كنت تستخدم VSCode، يمكنك استخدام ملف launch.json لتصحيح الكود. قم بتشغيل إعداد CLI tests لتشغيل وتصحيح الاختبارات بشكل مستمر.

الحصول على الدعم

إذا كنت بحاجة إلى دعم لاستخدام Bugsy أو تريد فقط مشاركة أفكارك ومعرفة المزيد، فنحن نرحب بك للانضمام إلى خادم الديسكورد الخاص بنا.