نظرة عامة

MCPwner هو خادم بروتوكول سياق النموذج (MCP) يدمج أدوات اختبار الأمان في سير العمل القائم على نماذج اللغة الكبيرة (LLM). يوفر واجهة موحدة لفحص الأسرار، والتحليل الثابت (SAST)، وتحليل تكوين البرامج (SCA)، وأمان البنية التحتية كرمز (IaC)، والاختبار العشوائي للمصدر، والاستطلاع، واختبار أمان التطبيقات الديناميكي (DAST)، وأبحاث الثغرات بما في ذلك اكتشاف ثغرات اليوم صفر (0-day).

بدلاً من ربط الأدوات يدويًا ولصق المخرجات في نموذج اللغة الخاص بك، يعمل MCPwner على توحيد وبث النتائج مباشرة إلى سياق عمل النموذج. وهذا يُمكّن من الاستدلال المستمر، والربط، واكتشاف مسارات الهجوم عبر دورة حياة أبحاث الأمن - بدءًا من رسم أسطح الهجوم وتحديد الثغرات المعروفة وصولاً إلى كشف ناقلات الهجوم الجديدة.

ملاحظة: هذا المشروع قيد التطوير النشط. تعرّف على المزيد حول بروتوكولات MCP هنا.

الأدوات المدمجة

أدوات مستقبلية

الأدوات التالية مخططة للإصدارات المستقبلية.

إلغاء التسلسل غير الآمن

مولّدات لسلاسل الأدوات (gadget chains) والحمولات لتحويل نقاط إلغاء التسلسل التي تم تحديدها أثناء SAST إلى أسلحة. توجد أنظمة بيئية ناضجة لسلاسل الأدوات في Java و.NET وPHP؛ يتم تغطية Python عبر توليد حمولات pickel خبيثة (إلغاء تسلسل Ruby/Node يعتمد على الحمولات ويوجد في مجموعة الحمولات أدناه):

• ysoserial - Java
• ysoserial.net - .NET
• PHPGGC - PHP
• marshalsec - أدوات marshallers/unmarshallers في JVM
• Fickling - Python (pickle)

تهريب طلبات HTTP

• smuggler - تهريب/عدم تزامن الطلبات في HTTP/1.1 (CL.TE, TE.CL, TE.TE)
• h2csmuggler - تهريب عبر ترقية اتصال HTTP/2 الصريح (h2c) (مختلف عن عدم تزامن HTTP/2)
• http2smugl - تهريب/عدم تزامن الطلبات في HTTP/2

الحمولات (Payloads)

مجموعات من الحمولات وقوائم الكلمات المنسقة لدعم الأدوات أعلاه:

• SecLists - تجميع لحمولات الاختبار العشوائي، وبيانات الاعتماد، وقوائم الحقن
• PayloadsAllTheThings - حمولات هجومية وحيل ملتوية مصنفة حسب نوع الثغرة
• FuzzDB - أساسيات حقن الأخطاء وأنماط الموارد القابلة للتوقع

أمثلة الاستخدام

خط أنابيب التعداد الآلي```

"Enumerate and scan example.com" → MCPwner chains: Subfinder + Amass → Masscan + Nmap → httpx → Katana + gau → ffuf + Arjun

تدقيق أمني```

"Run a security audit on my Python project" → MCPwner runs Bandit (SAST), OSV-Scanner (SCA), and secrets scanning

استغلال الهدف الحي```

"Test for SQLi and XSS on http://localhost:8080" → MCPwner chains: sqlmap + Dalfox and verifies findings

2. تكوين الخادم: ```bash cp config/config.yaml.example config/config.yaml

   Edit config/config.yaml as needed

   root@kitploit:~

3. بدء الخدمات: ```bash docker-compose up -d --build
   root@kitploit:~

4. تحقق من تشغيل الخدمات: ```bash docker-compose ps
   root@kitploit:~

اتصل ببيئة التطوير المتكاملة الخاصة بك (IDE)

بمجرد تشغيل حاويات Docker، أضف MCPwner إلى عميل MCP الخاص بك:

مهم: التسجيل الديناميكي للأدوات يستخدم MCPwner بنية معيارية اختيارية. يتم التحكم في أدوات الأمان بواسطة ملفات profiles الخاصة بـ Docker Compose.

1. ملف .env (COMPOSE_PROFILES=sast,secrets,reconnaissance,dast,etc) يحدد الحاويات التي يتم تشغيلها. بدلاً من ذلك، يمكنك تجاوز هذا الإعداد وتشغيل ملفات تعريف محددة عبر CLI: docker compose --profile sast --profile dast up -d.
2. يقوم خادم MCP بفحص الحاويات قيد التشغيل ديناميكيًا عند بدء التشغيل، ويقوم بتسجيل فقط الأدوات السليمة مع LLM الخاص بك.
3. إذا كنت ترغب في حذف أدوات محددة (مثل semgrep)، قم بإزالة فئتها (sast) من ملف .env واذكر الأدوات الأخرى التي تريدها يدويًا (bandit,gosec,codeql).
4. ملاحظة: الأدوات ضمن فئة utilities (مثل Linguist, WireMock, Chromium) تُعتبر تبعيات أساسية دائمة. تعمل بشكل غير مشروط عند docker compose up -d لضمان عمل التبعيات الحيوية المتقاطعة (مثل اكتشاف اللغة) دائمًا.

مواقع ملفات التهيئة:

• Claude Desktop: ~/Library/Application Support/Claude/claude_desktop_config.json (macOS)
• Cursor/Kiro: mcp.json في مشروعك أو دليل الإعدادات

تثبيت بنقرة واحدة (يتطلب تشغيل Docker):

التهيئة اليدوية:

أضف ما يلي إلى ملف تهيئة MCP الخاص بك:```json { "mcpServers": { "mcpwner": { "command": "docker", "args": ["exec", "-i", "mcpwner-server", "python", "src/server.py"], "env": {} } } }

ثم استخدم أداة create_workspace مع:

• source_type="local"
• source="/mnt/projects/my-project"

استمرارية البيانات

يقوم MCPwner تلقائيًا بالحفاظ على بيانات مساحة العمل وبيانات قاعدة CodeQL الوصفية عبر إعادة تشغيل الحاوية باستخدام تخزين قائم على الملفات في وحدة تخزين Docker المشتركة (/workspaces/.metadata/). لا حاجة لأي تكوين - يقوم النظام بتحميل البيانات الموجودة عند بدء التشغيل وحفظها بعد كل عملية باستخدام كتابات ذرية لمنع التلف.

التحكم في تنظيف مساحة العمل:

• delete_files=True, delete_metadata=False - تحرير مساحة القرص مع الحفاظ على تاريخ مساحة العمل (موصى به)
• delete_files=True, delete_metadata=True - إزالة كاملة لمساحة العمل والبيانات الوصفية
• delete_files=False, delete_metadata=True - إزالة من القائمة مع الاحتفاظ بالملفات على القرص

النسخ الاحتياطي:```bash

Backup entire workspaces volume

docker run --rm -v mcpwner_workspaces:/data -v $(pwd):/backup
alpine tar czf /backup/workspaces-backup.tar.gz /data

Restore volume

docker run --rm -v mcpwner_workspaces:/data -v $(pwd):/backup
alpine tar xzf /backup/workspaces-backup.tar.gz -C /

أدوات MCP المتاحة

يكشف MCPwner عن الأدوات التالية عبر واجهة MCP:

إدارة مساحة العمل:

• create_workspace - تهيئة مساحة عمل المسح من مسار محلي، أو رابط Git، أو مستودع GitHub
• list_workspaces - سرد جميع مساحات العمل المتاحة
• cleanup_workspace - إزالة مساحة العمل والبيانات المرتبطة بها

سجل النتائج:

نطاقه مساحة العمل، ويتم حفظه على القرص (<workspace>/findings/<id>.json)، وهو متاح دائمًا — لا حاجة لحاوية أو بوابة صحة. هذا هو المصدر الأساسي للحقيقة لخط أنابيب البحث العميق متعدد الوكلاء: كل فرضية، ونتائج PoC، وحكم مراجعة هو إدخال نتيجة بدلاً من نص وصفي.

• upsert_finding - إنشاء أو تحديث نتيجة. يدمج بعمق في إدخال موجود افتراضيًا، بحيث يمكن لوكيل واحد كتابة كائن فرعي خاص به (مثل poc) دون الكتابة فوق حقول وكيل آخر (مثل review)
• list_findings - سرد جميع النتائج في مساحة العمل، مع إمكانية التصفية حسب status (مثل poc-confirmed، review-approved)
• get_finding - استرداد نتيجة واحدة بواسطة المعرف

SAST (التحليل الثابت):

• run_sast_scan - تشغيل أدوات التحليل الثابت (Semgrep، Bandit، Gosec، Brakeman، PMD، Psalm، NodeJsScan، Joern، YASA)
• get_sast_report - استرداد نتائج فحص SAST
• sast_list_tools - سرد أدوات SAST المتاحة

كشف الأسرار:

• run_secrets_scan - تشغيل أدوات فحص الأسرار (Gitleaks، TruffleHog، Whispers، detect-secrets، Hawk-Eye)
• get_secrets_report - استرداد نتائج فحص الأسرار
• secrets_list_tools - سرد أدوات فحص الأسرار المتاحة

SCA (تحليل تكوين البرمجيات):

• run_sca_scan - تحليل التبعيات للبحث عن الثغرات الأمنية (Grype، Syft، OSV-Scanner، Retire.js)
• get_sca_report - استرداد نتائج فحص SCA
• sca_list_tools - سرد أدوات SCA المتاحة

الاستطلاع:

• run_reconnaissance_scan - تشغيل أداة استطلاع واحدة (Subfinder، Amass، Nmap، Masscan، httpx، Katana، ffuf، bbot، gau، Arjun، wafw00f، Kiterunner)
• run_reconnaissance_chain - ربط عدة أدوات استطلاع بالتسلسل
• get_reconnaissance_report - استرداد نتائج فحص الاستطلاع
• reconnaissance_list_tools - سرد أدوات الاستطلاع المتاحة

CodeQL:

• detect_languages - اكتشاف اللغات في قاعدة الشيفرة عبر Linguist
• create_codeql_database - إنشاء قاعدة بيانات CodeQL للتحليل
• list_databases - سرد قواعد بيانات CodeQL المتاحة
• list_query_packs - سرد حزم الاستعلام المتاحة
• execute_query - تشغيل استعلامات CodeQL محددة

أمن البنية التحتية والبنية كشيفرة (IaC):

• run_iac_scan - فحص البنية كشيفرة بحثًا عن التهيئات الخاطئة (Checkov، KICS، Terrascan، TFSec، Hadolint)
• get_iac_report - استرداد نتائج فحص IaC
• iac_list_tools - سرد أدوات فحص IaC المتاحة

الاختبار بالتشويش (Fuzzing) المصدر:

• run_fuzzing_scan - تشغيل حملة اختبار بالتشويش موجهة بالتغطية ومبنية على الصندوق الأبيض مقابل تسخير لكل هدف (Atheris، Jazzer، Jazzer.js، PHP-Fuzzer)
• get_fuzzing_report - استرداد نتائج تعطل التشويش (المدخلات المتسببة في التعطل + تتبع المكدس)
• fuzzing_list_tools - سرد محركات التشويش المتاحة، مصفاة حسب اللغة المكتشفة

DAST (اختبار أمن التطبيقات الديناميكي):

• run_dast_scan - تشغيل أدوات اختبار أمن التطبيقات الديناميكي (sqlmap، NoSQLMap، Commix، Dalfox، SSTImap، SSRFmap، jwt_tool، interactsh)
• get_dast_report - استرداد نتائج فحص DAST
• dast_list_tools - سرد أدوات DAST المتاحة

الأدوات المساعدة:

• run_utilities_scan - تشغيل أداة مساعدة ضد هدف حي (Linguist، WireMock، Mitmproxy، aiohttp، Headless Chromium)
• get_utilities_report - استرداد نتائج فحص الأدوات المساعدة
• utilities_list_tools - سرد الأدوات المساعدة المتاحة وخيارات تهيئتها

الصحة والمراقبة:

• health_check - التحقق من توفر الخادم والأداة
• list_tools - سرد جميع الأدوات المتاحة وحالتها

اعتبارات أمنية

ينفذ MCPwner أدوات أمنية قد تقوم بعمليات اقتحامية. استخدمه فقط على الأنظمة وقواعد الشيفرة التي تمتلكها أو لديك إذن صريح لاختبارها - الوصول غير المصرح به غير قانوني. قصر الوصول إلى خادم MCP على المستخدمين المصرح لهم وفكر في عزل الشبكة لنشر الإنتاج. راجع تهيئات الأداة قبل تشغيل عمليات الفحص لأن بعض الأدوات يمكن أن تولد حركة مرور كبيرة على الشبكة أو تحميلًا على النظام. سجل تنفيذ الأداة والنتائج، مع مراعاة أن عمليات الفحص الأمني يمكن أن تؤدي إلى تنبيهات في أنظمة المراقبة. اتبع ممارسات الإفصاح المسؤولة عند الإبلاغ عن الثغرات الأمنية المكتشفة باستخدام MCPwner. حافظ على تحديث صور Docker وافحص الحاويات بحثًا عن الثغرات الأمنية بانتظام. لا تقم أبدًا بإيداع مفاتيح API أو الرموز أو بيانات الاعتماد في ملفات التهيئة - استخدم متغيرات البيئة أو أنظمة إدارة الأسرار بدلاً من ذلك.

أيضًا، يجب أن تكون مسؤولاً عن أمنك الخاص عند تشغيل هذه الأدوات والوصول إلى مكتبات الطرف الثالث، ويُقترح تشغيل كل شيء في بيئة معزولة وبدون صلاحيات خاصة (مصغرة ومعززة قدر الإمكان).