Moxy

Moxy (Proxy intermediario de nueva generación) Herramienta DAST de código abierto para pruebas de penetración impulsada por capacidades de IA agentiva (compatible con Ollama). Construido sobre browser-use, Moxy optimiza las pruebas dinámicas de seguridad de aplicaciones.

🚀 INCREÍBLEMENTE FÁCIL DE USAR

Y es gratis, ¿a quién no le gustan las cosas gratis?

Aviso de vista previa:
🚧 Moxy está en desarrollo activo y actualmente en preview/beta.
Espere cambios disruptivos, inestabilidad y funcionalidades faltantes.
Úselo bajo su propio riesgo y siga las actualizaciones del proyecto para conocer las últimas mejoras.

Inicio rápido

Para ejecutarlo por ahora, necesita ejecutar el frontend y el backend por separado.

Requisitos previos

Antes de ejecutar Moxy, debe instalar uv (astral-uv), un instalador y resolvedor de paquetes Python rápido.

Instalar uv:

• Siga la guía de instalación oficial para instalar uv en su sistema.

Nota:
uv es necesario para gestionar las dependencias de Python en el backend. Si no lo tiene instalado, los comandos del backend fallarán.

Ejecutar el backend

1. Navegue al directorio del backend:

   root@kitploit:~

   cd backend
   

2. Instale las dependencias y ejecute el servidor backend:

   root@kitploit:~

   uv sync
   uv run moxy
   

Ejecutar el frontend

1. Navegue al directorio del frontend:

   root@kitploit:~

   cd frontend
   

2. Instale las dependencias:

   root@kitploit:~

   npm install
   

3. Inicie el servidor de desarrollo del frontend:

   root@kitploit:~

   npm run moxy
   

Nota:
Por defecto, el frontend se ejecuta en http://localhost:8080
y el backend se ejecuta en http://localhost:5000

Despliegue con Docker

Moxy se puede ejecutar usando Docker para un despliegue más sencillo y entornos consistentes. De esta manera puede colaborar e instalar fácilmente.

Inicio rápido con Docker

Opción 1: Usar imagen preconstruida (Recomendado)

projects_data contiene todas las bases de datos y registros necesarios. Es la carpeta de datos.

Extraiga y ejecute la imagen preconstruida desde GitHub Container Registry:

docker run -d \
  --name moxy \
  -p 5000:5000 \
  -p 8081:8081 \
  -v $(pwd)/projects_data:/app/projects_data \
  ghcr.io/matank001/moxy:latest

Opción 2: Compilar desde el código fuente

1. Construya e inicie el contenedor:

   root@kitploit:~

   docker-compose up -d --build
   

2. Acceda a la aplicación:

   • Frontend: http://localhost:5000
   • Proxy: http://localhost:8081

3. Configure su navegador para usar el proxy:

   Cuando se ejecuta en Docker, debe configurar manualmente su navegador para usar el proxy:

   • Host del proxy: localhost (o 127.0.0.1)
   • Puerto del proxy: 8081
   • Protocolo: HTTP

   Nota:
   El proxy se ejecuta dentro del contenedor Docker pero es accesible en localhost:8081 en su máquina host.
   Puede configurar los ajustes del proxy en la configuración de red de su navegador o usar extensiones del navegador para la gestión del proxy.

4. Ver registros:

   root@kitploit:~

   docker-compose logs -f
   

5. Detener el contenedor:

   root@kitploit:~

   docker-compose down
   

Variables de entorno

Cree un archivo .env en la raíz del proyecto para configurar la aplicación (debe colocarlo dentro del directorio backend/):

Nota:
El archivo .env es opcional. Docker Compose lo carga automáticamente si está presente (sin advertencia si falta).
Todos los datos del proyecto se conservan en el directorio projects_data, que se monta como un volumen.

Herramienta agentiva

Por defecto, Moxy funciona sin requerir configuración de IA ni credenciales; incluso los flujos DAST basados en navegador no usan IA a menos que esté habilitada.

Habilitar IA agentiva

Moxy es compatible tanto con la API de OpenAI como con Ollama (IA local) para funciones agentivas. Para habilitar capacidades impulsadas por IA:

Para desarrollo local: Cree un archivo .env en el directorio backend con la configuración adecuada.

Para Docker: Cree un archivo .env en la raíz del proyecto (mismo directorio que docker-compose.yml).

Opción 1: Usar API de OpenAI

Para procesamiento de IA basado en la nube con OpenAI, configure su archivo .env de la siguiente manera:

OPENAI_API_KEY=sk-proj-...             # Su clave API de OpenAI
MODEL=gpt-4o-mini                       # Opcional: por defecto gpt-4o-mini si no se especifica

Opción 2: Usar Ollama (IA local)

Para procesamiento de IA local con Ollama, configure su archivo .env de la siguiente manera:

USE_OLLAMA=true
OPENAI_API_KEY=test                    # Requerido pero el valor se ignora al usar Ollama
OPENAI_BASE_URL=http://localhost:11434/v1/  # Endpoint de la API de Ollama
MODEL=qwen3:8b                         # Su modelo Ollama preferido

Capacidades del agente:

• Consultar solicitudes HTTP capturadas previamente
• Enviar/modificar/reenviar nuevas solicitudes
• Operar un navegador real (usando browser-use) para pruebas dinámicas y creación de solicitudes

El agente usa IA para razonar sobre la superficie de ataque de su aplicación, reproducir o modificar tráfico, e incluso conducir sesiones de navegador para generar nuevos escenarios de prueba.

Advertencia:
Los modos de IA agentiva son actualmente experimentales y pueden ser inestables.

Proxy

Moxy aprovecha MITMproxy como un proxy HTTP/HTTPS de intercepción para capturar y modificar tráfico durante las pruebas dinámicas de seguridad de aplicaciones.

Por defecto, el proxy se ejecuta en el puerto 8081. Puede configurar su navegador o sistema para usar http://localhost:8081 como proxy para enrutar el tráfico a través de MITMproxy y permitir que Moxy analice e interactúe con las solicitudes en tiempo real.

Cómo configurar Moxy en Firefox

Para analizar el tráfico HTTP y HTTPS de Firefox a través de Moxy, debe configurar Firefox para usar el proxy de Moxy e importar el certificado del proxy para que el tráfico del navegador (incluyendo HTTPS) se pueda interceptar correctamente.

Paso 1: Iniciar Moxy y el proxy

Asegúrese de que Moxy (y su proceso MITMproxy) esté en ejecución.

Paso 2: Configurar Firefox para usar el proxy

1. Abra Firefox.
2. Vaya a Configuración (o Preferencias en algunos sistemas).
3. Desplácese hasta la sección Configuración de red (al final).
4. Haga clic en Configuración… junto a "Configuración de red".
5. Elija Configuración manual del proxy.
6. Establezca Proxy HTTP como localhost y Puerto como 8081.
   • Marque Usar también este proxy para HTTPS o configure también Proxy SSL como localhost:8081.
7. Haga clic en Aceptar para guardar.

Ahora, todo el tráfico del navegador se enrutará a través del proxy de Moxy en http://localhost:8081.

Paso 3: Importar el certificado del proxy

1. En Firefox (con el proxy aún habilitado), navegue a http://mitm.it.
2. La página mostrará enlaces de descarga para varios certificados. Haga clic en el enlace para Firefox (o "Other" si no aparece) para descargar el certificado (por ejemplo, mitmproxy-ca-cert.pem).
3. Vaya a Configuración → Privacidad y seguridad en Firefox.
4. Desplácese hasta la sección Certificados y haga clic en Ver certificados…
5. En el Administrador de certificados, vaya a la pestaña Entidades certificadoras.
6. Haga clic en Importar… y seleccione el archivo de certificado que descargó.
7. Cuando se le solicite, marque ambas casillas:
   • Confiar en esta CA para identificar sitios web
   • (Opcional) Confiar en esta CA para identificar usuarios de correo
8. Haga clic en Aceptar para confirmar.
9. Reinicie Firefox si se le solicita o si los sitios HTTPS aún fallan al cargar sin advertencias.

Después de completar estos pasos, Firefox confiará en las conexiones HTTPS interceptadas por el proxy de Moxy.
Ahora está listo para analizar y probar dinámicamente aplicaciones web a través de HTTP y HTTPS sin advertencias de certificados.

Para más detalles, consulte la documentación de certificados de MITMproxy.

Estructura de la base de datos

• moxy.db - Base de datos principal que almacena metadatos del proyecto
• projects_data/{nombre_proyecto}.db - Bases de datos de proyectos individuales (nombradas según el proyecto, sanitizadas)
  • Cada proyecto obtiene su propio archivo de base de datos SQLite
  • Cuando se renombra un proyecto, su archivo de base de datos se renombra automáticamente
  • Cuando se elimina un proyecto, su archivo de base de datos se elimina

Advertencia:
En esta etapa, no hay garantía de migración de base de datos ni compatibilidad con versiones anteriores entre versiones; las versiones futuras podrían romper la compatibilidad con archivos de base de datos antiguos. Úselo con precaución si planea actualizar.

Descargo de responsabilidad de uso ético

Moxy está diseñado estrictamente para fines de pruebas de seguridad éticas e investigación. Está destinado a ayudar a profesionales de seguridad, desarrolladores y organizaciones a identificar y corregir vulnerabilidades en aplicaciones que poseen o para las cuales tienen permiso explícito para probar.