toolbox v0.2.0

MCP-basierte Werkzeuge für Anwendungssicherheitstests für deinen Coding-Agenten.

Kein Scanner — eine kollaborative Werkbank. Agenten haben Schwierigkeiten mit UI und zustandsbehafteten APIs; du bist in beidem gut. Sectool ermöglicht es dir, eine Anwendung durch ihren Proxy zu erkunden, während ein Agent denselben authentifizierten Datenverkehr analysiert und manipuliert, den du erzeugst.

Du kümmerst dich um Authentifizierung und UI-Interaktionen, der Agent fragt Flows ab, mutiert Requests, findet Reflections, überwacht Out-of-Band-Interaktionen und versucht andere Permutationen. Die Kombination eurer Fähigkeiten macht Routineaufgaben einfacher, verborgene Indikatoren weniger wahrscheinlich übersehen und komplexe Tests gründlicher.

Erste Schritte

1. Sectool installieren

go install github.com/go-appsec/toolbox/sectool@latest

Kein Go? Lade das Binary für deine Plattform (Linux, macOS, Windows — amd64 und arm64) aus dem neuesten Release herunter.

2. Den MCP-Server (Model Context Protocol) starten

sectool mcp

Dies startet einen MCP-Server auf Port 9119 mit einem integrierten HTTP-Proxy auf Port 8080.

3. Deinen Browser konfigurieren

Richte die Proxy-Einstellungen deines Browsers auf 127.0.0.1:8080 (oder den mit --proxy-port angegebenen Port).

Für HTTPS-Interception installiere das CA-Zertifikat aus ~/.sectool/ca.pem (wird beim ersten Start automatisch generiert). Die meisten Browser akzeptieren es über ihre Zertifikatseinstellungen; unter macOS kannst du es auch zum Systemschlüsselbund hinzufügen.

Verwendest du Burp? Folge stattdessen der Proxy-Konfiguration von Burp und starte sectool dann mit sectool mcp --burp.

4. Deinen Agenten verbinden

Claude Code:

claude mcp add --transport http sectool http://127.0.0.1:9119/mcp

Codex (~/.codex/config.toml):

[mcp_servers.sectool]
url = "http://127.0.0.1:9119/mcp"

5. Zusammenarbeiten

Arbeite mit dem Agenten zusammen, um einen Testplan zu erstellen und ihn gemeinsam auszuführen. Der Agent kann den Proxy-Verlauf abfragen, modifizierte Requests erneut senden, nach Endpunkten crawlen und auf Out-of-Band-Interaktionen testen, während du browserbasierte Aktionen wie Authentifizierung oder die Interaktion mit und Überprüfung der UI übernimmst.

Server-Optionen

Proxy-Backends

Native: Integrierter Proxy mit Wire-Fidelity und Unterstützung für HTTP/1.1, HTTP/2 und WebSocket. Entwickelt, um für MITM-Tests so leistungsfähig wie Burp zu sein. Ein einziges Binary stellt den MCP-Server, den Proxy und die CLI bereit — vollständig eigenständig und in Headless-Umgebungen nutzbar.

Burp (optional): Wenn du eine GUI bevorzugst, um die Aktionen des Agenten zu überprüfen, oder bereits Burp laufen hast, installiere die MCP-Erweiterung aus dem BApp Store und stelle sicher, dass der MCP-Server auf http://127.0.0.1:9876/ läuft.

Option	Beschreibung
(Standard)	Automatische Erkennung: versucht zuerst Burp MCP, fällt auf den nativen Proxy zurück
`--proxy-port 8080`	Erzwingt den nativen Proxy auf dem angegebenen Port
`--burp`	Erzwingt Burp MCP (schlägt fehl, wenn nicht verfügbar)

Sitzungsoptionen

Workflow

Sectool bestimmt automatisch den passenden Workflow, wenn der Agent zu Beginn einer Sitzung das workflow-Tool aufruft. Du kannst diesen Schritt überspringen und Tokens sparen, indem du den Workflow vorab angibst:

sectool mcp                        # Standard: Agent wählt Aufgabentyp über das workflow-Tool
sectool mcp --workflow explore     # Voreingestellter Explorationsmodus
sectool mcp --workflow test-report # Voreingestellter Validierungsmodus
sectool mcp --workflow none        # Keine Workflow-Anweisungen
sectool mcp --workflow multi       # Mehrere Agenten teilen sich den Server

Modus	Beschreibung
(Standard)	Agent wählt den Aufgabentyp durch Aufruf des `workflow`-Tools und erhält Kollaborationsanweisungen
`explore`	Exploratives Sicherheitstesten; alle Tools verfügbar
`test-report`	Validierung eines bestimmten Schwachstellenberichts; Crawl-Tools ausgeschlossen
`none`	Keine Workflow-Anweisungen, alle Tools sofort verfügbar
`multi`	Für den Fall, dass mehrere Benutzer oder Agenten den Server teilen; blendet Funktionen aus, bei denen ein Agent einen anderen verwirren könnte

Workflow-Anweisungen leiten Agenten zu kollaborativem Testen an, anstatt zu versuchen, alles autonom zu erledigen oder dich durch einen Prozess zu führen, ohne Mehrwert zu bieten. Wenn du Ideen zur Verbesserung der Agenten-Kollaboration hast, eröffne ein Issue.

Notizen

Das --notes-Flag aktiviert die Tools notes_save und notes_list zum Speichern von Beobachtungen, die mit Flows verknüpft sind. Standardmäßig deaktiviert, um die Kontextnutzung für kurze Sitzungen minimal zu halten. Aktiviere es, wenn du mehrere Findings oder Konversationskompaktierungen erwartest.

MCP-Transporte

Der Server stellt zwei Endpunkte bereit:

/mcp - Streamable HTTP (empfohlen)
/sse - SSE (Legacy, für ältere Clients)

Beispielhafte CLI-Nutzung

Die CLI teilt den Zustand mit dem Agenten und bietet eine benutzerfreundliche Oberfläche zum Überprüfen, erneuten Senden und Skripten. Alle CLI-Befehle entsprechen MCP-Tools, sodass der Agent denselben Zustand teilt.

# Review what the proxy captured while you browsed
sectool proxy summary
sectool proxy list --host example.com
sectool proxy cookies --name session_id

# Crawl an app to discover endpoints and forms
sectool crawl create --url https://example.com
sectool crawl summary <session_id>

# Replay a captured request with modifications
sectool replay send --flow <flow_id> --set-header "X-Test: value"

# Set up out-of-band interaction testing and check for callbacks
sectool oast create
sectool oast poll <oast_id>
sectool oast get <event_id>

# Compare two flows, detect reflections, inspect JWTs
sectool diff <flow_a> <flow_b> --scope response
sectool reflected <flow_id>
sectool jwt <token>

# Export a flow, edit it offline, and resend
sectool proxy export <flow_id>
# ... edit ./sectool-requests/<flow_id>/request.http ...
sectool replay send --bundle <flow_id>

Verwende sectool <command> --help für detaillierte Optionen.