Pentest MCP

Professioneller MCP-Server für Penetrationstests mit moderner Transport-/Authentifizierungsunterstützung und erweiterten Recon-Werkzeugen.

Was gibt es Neues in 0.9.0

• MCP-SDK auf @modelcontextprotocol/sdk@^1.26.0 aktualisiert
• MCP Inspector auf dem neuesten Stand gehalten (@modelcontextprotocol/inspector@^0.20.0) mit gebündeltem Launcher
• Streamable HTTP ist jetzt der primäre Netzwerktransport (MCP_TRANSPORT=http)
• SSE ist weiterhin nur als veralteter Kompatibilitätsmodus verfügbar
• Bearer-Token-Authentifizierung mit OIDC-JWKS- und Introspections-Unterstützung hinzugefügt
• Erstklassige Tools hinzugefügt: subfinderEnum, httpxProbe, ffufScan, nucleiScan, trafficCapture, hydraBruteforce, privEscAudit, extractionSweep
• Berichtsverwaltungs-Tools hinzugefügt: listEngagementRecords, getEngagementRecord
• SoW-Erfassungsablauf für Berichte mittels MCP-Elicitation (scopeMode=ask) mit sicherem Template-Fallback hinzugefügt
• Befehlserkennung gehärtet, sodass Web-Probing httpx-toolkit (bevorzugt) oder validiertes ProjectDiscovery-httpx verwendet und Kollisionen mit der Python-httpx-CLI vermieden werden
• Gebündelten MCP-Inspector-Launcher integriert (pentest-mcp inspector)
• Laufzeit-Baseline ist jetzt Node.js 22.7.5+
• Aufruf-Metadaten in neuen Tool-Ausgaben hinzugefügt, wenn Auth-/Session-Kontext verfügbar ist

Enthaltene Tools

• nmapScan
• runJohnTheRipper
• runHashcat
• gobuster
• nikto
• subfinderEnum
• httpxProbe
• ffufScan
• nucleiScan
• trafficCapture
• hydraBruteforce
• privEscAudit
• extractionSweep
• generateWordlist

Schnellstart

Installation

npm install -g pentest-mcp

Lokal ausführen (stdio)

pentest-mcp

Gebündelten MCP Inspector starten (ohne separate Installation)

pentest-mcp inspector

Sie können Inspector-Flags direkt durchreichen:

pentest-mcp inspector --help

Über Netzwerk ausführen (Streamable HTTP)

MCP_TRANSPORT=http MCP_SERVER_HOST=0.0.0.0 MCP_SERVER_PORT=8000 pentest-mcp

Legacy-SSE-Modus ausführen (veraltet)

MCP_TRANSPORT=sse MCP_SERVER_PORT=8001 pentest-mcp

Transport-Anmerkungen

• stdio: Standard für lokale MCP-Clients.
• http: moderner Netzwerktransport. Empfohlen.
• sse: nur Kompatibilität. Veraltet und wird in einem zukünftigen Hauptrelease entfernt.

Inspector-Integration

• pentest-mcp inspector startet die gebündelte @modelcontextprotocol/inspector-CLI.
• Er zielt automatisch über stdio auf diesen MCP-Server, indem er Folgendes ausführt:
  • node <this-package-entrypoint> stdio
• Sie müssen Inspector nicht separat installieren.

Auth-Konfiguration (Bearer + OIDC)

Setzen Sie diese Umgebungsvariablen bei Verwendung von MCP_TRANSPORT=http (oder bei Bedarf sse):

MCP_AUTH_ENABLED=true
MCP_AUTH_MODE=bearer
MCP_AUTH_SCOPES=read,write
MCP_AUTH_AUDIENCE=
MCP_OIDC_ISSUER=https://issuer.example.com
MCP_OIDC_JWKS_URL=https://issuer.example.com/.well-known/jwks.json
# optionale alternative/Backup-Validierungsmethode:
MCP_OIDC_INTROSPECTION_URL=https://issuer.example.com/oauth/introspect
MCP_OAUTH_CLIENT_ID=...
MCP_OAUTH_CLIENT_SECRET=...

Legacy-Aliasse werden vorübergehend weiterhin akzeptiert:

• MCP_OAUTH_ENABLED
• MCP_OAUTH_PROVIDER_URL
• MCP_OAUTH_SCOPES

Workflow + Berichterstellung

createClientReport unterstützt jetzt SoW-Verarbeitungsmodi:

• scopeMode=ask: Benutzer per MCP-Elicitation auffordern (empfohlen)
• scopeMode=provided: den Wert scopeOfWork direkt verwenden
• scopeMode=template: eingebaute generische Vorlage für autorisierte Tests verwenden

Wenn die Elicitation abgelehnt/nicht verfügbar ist, fällt der Bericht automatisch auf die Vorlage zurück.

Wie Benutzer die SoW bereitstellen (derzeit)

Es gibt noch keine separate Datei-Upload-API. Die aktuellen Optionen sind:

1. Interaktiv per MCP-Benutzeraufruf (Elicitation) abfragen

{
  "tool": "createClientReport",
  "arguments": {
    "title": "Q1 External Pentest",
    "assessmentType": "external-network",
    "scopeMode": "ask"
  }
}

2. SoW-Text direkt in scopeOfWork einfügen

{
  "tool": "createClientReport",
  "arguments": {
    "title": "Q1 External Pentest",
    "assessmentType": "external-network",
    "scopeMode": "provided",
    "scopeOfWork": "Authorized targets: ...\nOut-of-scope: ...\nTesting window: ...\nRules of engagement: ..."
  }
}

3. Den Vorlagenmodus verwenden, wenn Kundendaten nicht geteilt werden sollen

{
  "tool": "createClientReport",
  "arguments": {
    "title": "Q1 External Pentest",
    "assessmentType": "external-network",
    "scopeMode": "template"
  }
}

Wie das Admin-Zeit spart

• Jeder Tool-Lauf speichert einen strukturierten Engagement-Datensatz (recordId=...) mit Aufrufkontext.
• Verwenden Sie listEngagementRecords, um alle Arbeitsartefakte schnell abzurufen.
• Generieren Sie den Bericht aus ausgewählten recordIds (oder standardmäßig den neuesten Datensätzen) anstatt manuellem Kopieren/Einfügen.
• Umfangsnotizen werden automatisch aus einer der folgenden Quellen angehängt:
  • Benutzer-Elicitation-Formular (ask)
  • eingefügter SoW-Text (provided)
  • sichere Standardvorlage (template)

Roadmap

Diese Punkte sind geplant, um den Verwaltungsaufwand bei Pentests gezielt zu reduzieren.

• scopeFilePath-Übernahme (SoW aus einem lokalen Dateipfad auf dem MCP-Host laden)
• scopeDocument-Upload in Blöcken (SoW-Inhalt direkt über MCP für entfernte Clients senden)
• SoW-Parser, der automatisch Ziele, Ausschlüsse, Testfenster und Einsatzregeln extrahiert
• Automatische Verknüpfung von Beweisen aus Tool-Ausgaben (recordId) mit Befunden und Berichtsabschnitten
• Deduplizierung/Zusammenführung von Befunden über sich überschneidende Tools hinweg (nuclei, nikto, usw.)
• Automatischer Entwurfstext für Schweregrad und Auswirkung für schnellere Berichte
• Berichtspaketgenerierung mit einem Klick (Management-Zusammenfassung + technischer Anhang + Sanierungstabelle)
• Retest-Diff-Modus (behobene/wiedereröffnete/neue Befunde zwischen Engagements)
• Ticket-Export-Synchronisierung (Jira/Linear/GitHub) mit Status-Backfill
• QA-Prüfungen für Liefergegenstände (fehlende Beweise, fehlende Umfangsfelder, schwache Sanierungshinweise)

Adoptionshinweis:

• Für scopeFilePath und scopeDocument wird eine starke Nutzung erwartet, da die meisten Teams SoW bereits in Dokumenten/PDFs pflegen und wiederholte Kopier- und Neuformatierungsschritte vermeiden möchten.

Recon- und Exploit-Beispiele

Subdomänen-Enumeration

{
  "tool": "subfinderEnum",
  "arguments": {
    "domain": "example.com",
    "recursive": true,
    "allSources": true
  }
}

Live-Hosts prüfen

{
  "tool": "httpxProbe",
  "arguments": {
    "targets": ["example.com", "api.example.com"],
    "includeTitle": true,
    "includeStatusCode": true
  }
}

Inhaltspfade fuzzen

{
  "tool": "ffufScan",
  "arguments": {
    "targetUrl": "https://example.com/FUZZ",
    "wordlist": "/usr/share/seclists/Discovery/Web-Content/common.txt",
    "threads": 40
  }
}

Template-Scans

{
  "tool": "nucleiScan",
  "arguments": {
    "targets": ["https://example.com"],
    "severities": ["medium", "high", "critical"]
  }
}

Verkehrserfassung (Sniffing)

{
  "tool": "trafficCapture",
  "arguments": {
    "networkInterface": "eth0",
    "packetCount": 200,
    "bpfFilter": "tcp port 80"
  }
}

Brute-Force-Prüfungen

{
  "tool": "hydraBruteforce",
  "arguments": {
    "target": "10.10.10.20",
    "service": "ssh",
    "usernameList": "/usr/share/seclists/Usernames/top-usernames-shortlist.txt",
    "passwordList": "/usr/share/seclists/Passwords/Common-Credentials/10k-most-common.txt"
  }
}

SQLi-Extraktions-Sweep

{
  "tool": "extractionSweep",
  "arguments": {
    "targetUrl": "https://target.local/item.php?id=1",
    "risk": 2,
    "level": 3
  }
}

Docker

docker-compose --profile http up
docker-compose --profile stdio up
docker-compose --profile sse up

Das Docker-Image installiert:

• nmap, john, hashcat, gobuster, nikto, ffuf, hydra, sqlmap, tcpdump
• subfinder, httpx + httpx-toolkit-Alias, nuclei

Erforderliche Host-Tools (bei Nicht-Docker-Ausführung)

Stellen Sie sicher, dass die Binärdateien im PATH liegen:

which nmap john hashcat gobuster nikto subfinder httpx-toolkit ffuf nuclei hydra sqlmap tcpdump

Wenn httpx-toolkit nicht installiert ist, wird ein validiertes ProjectDiscovery-httpx-Binärprogramm als Fallback akzeptiert.

Sicherheitshinweis

Nur für autorisierte Nutzung. Führen Sie es nur gegen Systeme/Netzwerke aus, für die Sie eine ausdrückliche schriftliche Genehmigung haben.

Anhang: MCP in der Praxis (Codeausführung, Tool-Umfang und Sicherheit)

Zuletzt aktualisiert: 2026-03-23

Warum dieser Anhang existiert

Das Model Context Protocol (MCP) ist weiterhin eine der nützlichsten Interoperabilitätsschichten für Tools und Agenten. Der Nachteil: Große MCP-Server können viele Tools bereitstellen, und naiver Tool-Aufruf kann Kontextfenster mit Schemas, Tool-Kommunikation und irrelevanten Aufrufspuren überfluten.

In der Praxis bedeutet „mehr Tools“ nicht immer „bessere Ergebnisse“. Die Tool-Oberfläche muss mit Ausführungsmustern kombiniert werden, die den Tokenverbrauch begrenzen und das Verhalten vorhersehbar halten.

Der Wandel hin zu Codeausführung / Code-Modus

Neuere Arbeitsabläufe verlagern komplexe Orchestrierung zunehmend aus dem Chat-Kontext in Codeausführungsschleifen. Dies reduziert wiederkehrende Schema-Tokens und macht die Tool-Nutzung prüfbar und testbar.

Kernlektüre:

• Cloudflare: Code Mode
• Cloudflare: Code Execution with MCP
• Anthropic: Code Execution with MCP

Empfohlene Einrichtung für Power-User

Für Benutzer, die reproduzierbare und rauschärmere MCP-Nutzung wünschen, beginnen Sie mit einem codemode-orientierten Setup:

• codemode-mcp (jx-codes)
• UTCP

Praktischer Hinweis: Selbst bei einem guten Setup kann das Modellverhalten über Anbieter und Versionen hinweg inkonsistent sein. Behalten Sie Wiederholungen, Schutzmechanismen und deterministische Fallbacks bei.

Peter-Steinberger-artige Wrapper-Workflows

Ein Muster mit hoher Hebelwirkung besteht darin, MCP-Server in aufrufbare Code-Schnittstellen und aufgabenorientierte CLIs zu verpacken, anstatt jedes rohe Tool jederzeit dem Modell auszusetzen.

Referenzwerkzeuge:

• MCPorter
• OpenClaw

Client-Fit-Leitfaden (Kurzfassung)

• Claude Code / Codex / Cursor: stark für direkte MCP-Workflows, profitieren aber dennoch von schmalen Tool-Oberflächen.
• Codeausführungs-Wrapper (TypeScript/Python-CLIs): besser, wenn die Tool-Anzahl hoch ist oder Aufgabenketten mehrstufig sind.
• Gehostete Chat-Clients mit schwächeren MCP-Kontrollen: oft sicherer über vorverpackte CLIs oder Gateway-Tools.

Dieser Bereich verändert sich schnell. Wenn Sie dies jetzt lesen, könnten Teile dieser Anleitung bereits veraltet sein.

Prompt Injection: Risiken, Auswirkungen und Gegenmaßnahmen

Prompt Injection bleibt ein offenes Sicherheitsproblem für Tool-verwendende Agenten. Es ist beherrschbar, aber nicht „gelöst“.

Hauptrisiken:

• Bösartige Anweisungen, die in Tool-Ausgaben oder entfernten Inhalten versteckt sind.
• Geheimnis-Exfiltration und unbefugte externe Aufrufe.
• Unsichere Zustandsänderungen (zerstörerische Datei-/System-/API-Aktionen).

Folgen:

• Datenlecks, Kompromittierung von Konten, finanzielle Verluste und Integritätsfehler.

Basis-Gegenmaßnahmen:

• Least Privilege für Anmeldedaten und Tool-Berechtigungen.
• Zulassungslisten für Ziele und Durchsetzung von Egress-Kontrollen.
• Strenge Eingabevalidierung und Schema-Durchsetzung.
• Menschliche Bestätigung für zerstörerische/risikoreiche Aktionen.
• Sandbox-Ausführung mit Ressourcen-/Zeitlimits.
• Strukturierte Protokollierung, Prüfpfade und reproduzierbare Läufe.
• Ausgabefilterung/-Schwärzung vor der erneuten Verarbeitung durch das Modell.

Behandeln Sie jede Tool-Ausgabe als nicht vertrauenswürdige Eingabe, sofern sie nicht ausdrücklich verifiziert wurde.

MCP-Kompatibilitätsstatus

Dieser Server zielt auf die MCP-Protokollversion 2025-11-25 und das SDK @modelcontextprotocol/sdk@^1.27.1.