go-appsec/toolboxTests collaboratifs de sécurité applicative entre humains et agents via CLI et MCP
<img width="400" height="160" alt="go-appsec/toolbox" src="https://assets.kitploit.com/production/public/readmes/12195/899658aaebd95d74c5a2eb8eff64d2234300b95d43084d8dd1153d2edb6a9107.png" /> [](https://github.com/go-appsec/toolbox/blob/main/LICENSE) [](https://github.com/go-appsec/toolbox/actions/workflows/tests-main.yml) [-Significant%20AI%2C%20fully%20reviewed-1f77b4)](https://github.com/vibesdk/vibe-scale/blob/main/scale/vibe-1.md#v2-u0-t0-score-10--significant-ai-fully-reviewed) **Outils de test de sécurité applicative basés sur MCP pour votre agent de codage.** Pas un scanner — un atelier collaboratif. Les agents ont du mal avec les interfaces utilisateur et les API à état ; vous êtes bon dans les deux. Sectool vous permet d'explorer une application via son proxy pendant qu'un agent analyse et manipule le même trafic authentifié que vous générez. Vous gérez l'authentification et les interactions avec l'interface, l'agent interroge les flux, modifie les requêtes, trouve les réflexions, surveille les interactions hors bande et tente d'autres permutations. La combinaison de vos capacités rend les tâches routinières plus faciles, les indicateurs cachés moins susceptibles d'être manqués, et les tests complexes plus approfondis. ## Pour commencer ### 1. Installer sectool ```bash go install github.com/go-appsec/toolbox/sectool@latest ``` **Pas de Go ?** Téléchargez le binaire pour votre plateforme (Linux, macOS, Windows — amd64 et arm64) depuis la [dernière version](https://github.com/go-appsec/toolbox/releases). ### 2. Démarrer le serveur MCP (Model Context Protocol) ```bash sectool mcp ``` Cela démarre un serveur MCP sur le port 9119 avec un proxy HTTP intégré sur le port 8080. ### 3. Configurer votre navigateur Configurez les paramètres de proxy de votre navigateur sur `127.0.0.1:8080` (ou le port spécifié avec `--proxy-port`). Pour l'interception HTTPS, installez le certificat CA depuis `~/.sectool/ca.pem` (généré automatiquement au premier lancement). La plupart des navigateurs l'acceptent via leurs paramètres de certificats ; sur macOS, vous pouvez également l'ajouter au trousseau système. **Vous utilisez Burp ?** Suivez plutôt la [configuration du proxy de Burp](https://portswigger.net/burp/documentation/desktop/external-browser-config), puis démarrez sectool avec `sectool mcp --burp`. ### 4. Connecter votre agent **Claude Code :** ```bash claude mcp add --transport http sectool http://127.0.0.1:9119/mcp ``` **Codex** (`~/.codex/config.toml`) : ```toml [mcp_servers.sectool] url = "http://127.0.0.1:9119/mcp" ``` ### 5. Collaborer Travaillez avec l'agent pour élaborer un plan de test et l'exécuter ensemble. L'agent peut interroger l'historique du proxy, rejouer des requêtes modifiées, explorer les points de terminaison et tester les interactions hors bande pendant que vous gérez les actions basées sur le navigateur comme l'authentification ou l'interaction avec l'interface et sa vérification. ## Options du serveur ### Backends de proxy **Natif :** Proxy intégré avec fidélité au niveau du fil et prise en charge de HTTP/1.1, HTTP/2 et WebSocket. Conçu pour être aussi performant que Burp pour les tests MITM. Un seul binaire fournit le serveur MCP, le proxy et le CLI — entièrement autonome et utilisable dans des environnements sans interface graphique. **Burp (optionnel) :** Si vous préférez une interface graphique pour examiner les actions de l'agent ou si vous avez déjà Burp en cours d'exécution, installez l'extension MCP depuis le BApp Store et assurez-vous que le serveur MCP fonctionne sur `http://127.0.0.1:9876/`. | Option | Description | |--------|-------------| | (par défaut) | Détection automatique : essaie d'abord Burp MCP, puis bascule vers le proxy natif | | `--proxy-port 8080` | Force le proxy natif sur le port spécifié | | `--burp` | Force Burp MCP (échoue si indisponible) | ### Options de session #### Workflow Sectool détermine automatiquement le workflow approprié lorsque l'agent appelle l'outil `workflow` au début d'une session. Vous pouvez ignorer cette étape et économiser des tokens en spécifiant le workflow à l'avance : ```bash sectool mcp # Par défaut : l'agent sélectionne le type de tâche via l'outil workflow sectool mcp --workflow explore # Mode exploration prédéfini sectool mcp --workflow test-report # Mode validation prédéfini sectool mcp --workflow none # Aucune instruction de workflow sectool mcp --workflow multi # Plusieurs agents partagent le serveur ``` | Mode | Description | |------|-------------| | (par défaut) | L'agent sélectionne le type de tâche en appelant l'outil `workflow`, reçoit les instructions de collaboration | | `explore` | Tests de sécurité exploratoires ; tous les outils disponibles | | `test-report` | Validation d'un rapport de vulnérabilité spécifique ; outils d'exploration exclus | | `none` | Aucune instruction de workflow, tous les outils disponibles immédiatement | | `multi` | Pour lorsque plusieurs utilisateurs ou agents partagent le serveur ; masque les fonctionnalités où un agent peut en confondre un autre | Les instructions de workflow guident les agents vers des tests collaboratifs plutôt que d'essayer de tout faire de manière autonome ou de vous faire suivre un processus sans valeur ajoutée. Si vous avez des idées pour améliorer la collaboration des agents, [ouvrez un ticket](https://github.com/go-appsec/toolbox/issues). #### Notes L'option `--notes` active les outils `notes_save` et `notes_list` pour enregistrer des observations liées aux flux. Désactivé par défaut pour minimiser l'utilisation du contexte lors de sessions courtes. Activez-le lorsque vous prévoyez plusieurs découvertes ou compactages de conversation. ### Transports MCP Le serveur expose deux points de terminaison : - `/mcp` - Streamable HTTP (recommandé) - `/sse` - SSE (hérité, pour les clients plus anciens) ## Exemple d'utilisation du CLI Le CLI partage l'état avec l'agent et fournit une interface conviviale pour examiner, rejouer et scripter. Toutes les commandes du CLI correspondent à des outils MCP, de sorte que l'agent partage le même état. ```bash # Examiner ce que le proxy a capturé pendant votre navigation sectool proxy summary sectool proxy list --host example.com sectool proxy cookies --name session_id # Explorer une application pour découvrir les points de terminaison et les formulaires sectool crawl create --url https://example.com sectool crawl summary <session_id> # Rejouer une requête capturée avec des modifications sectool replay send --flow <flow_id> --set-header "X-Test: value" # Configurer les tests d'interaction hors bande et vérifier les rappels sectool oast create sectool oast poll <oast_id> sectool oast get <event_id> # Comparer deux flux, détecter les réflexions, inspecter les JWT sectool diff <flow_a> <flow_b> --scope response sectool reflected <flow_id> sectool jwt <token> # Exporter un flux, le modifier hors ligne et le renvoyer sectool proxy export <flow_id> # ... modifier ./sectool-requests/<flow_id>/request.http ... sectool replay send --bundle <flow_id> ``` Utilisez `sectool <command> --help` pour les options détaillées. ## Fonctionnalités clés - **Proxy à fidélité de fil** - MITM HTTP/1.1 et HTTP/2 préservant l'ordre des en-têtes, la casse et les anomalies de protocole - **Rejeu et mutation** - Réécrivez le trafic en direct via des règles de correspondance/remplacement ou renvoyez des requêtes capturées avec des modifications via une API optimisée pour les agents - **Diff de flux** - Comparaison structurée et sensible au type de contenu de deux flux (au niveau des chemins JSON, texte unifié, taille binaire) pour une validation rapide des rapports - **Analyse de la surface JS** - extraire les points de terminaison, les routes et les secrets des bundles JavaScript/HTML, puis développer chaque site d'appel en ses requêtes utilisables - **Détection de réflexion** - Trouver les valeurs des paramètres de requête reflétées dans les réponses à travers plusieurs variantes d'encodage pour faire apparaître les points d'injection - **OAST** - Tests d'interaction hors bande via Interactsh ; créez des domaines, interrogez les rappels DNS/HTTP/SMTP - **Sondage de redirection** - Les sessions OAST peuvent renvoyer des redirections 307 pour détecter si une cible suit les redirections, utile pour les chaînes SSRF et les contournements de validation - **Exploration** - Découvrez les points de terminaison, les formulaires et la structure de l'application ; amorcez depuis l'historique du proxy ou des URL - **Prise en charge de WebSocket** - Interception au niveau des trames, proxying et correspondance/remplacement pour les messages WebSocket - **Modes de workflow** - Guidance des agents spécifique à la tâche (explore, test-report) pour améliorer la qualité de la collaboration et réduire le gaspillage de tokens - **Utilitaires d'encodage** - Encodage/décodage URL, Base64, HTML, hachage (MD5/SHA/HMAC), inspection JWT - **Intégration Burp Suite** - Interface graphique optionnelle via l'extension Burp MCP ; ou exécution entièrement sans interface avec le proxy natif ## Analyse automatisée Associez sectool à [sidenuclei](https://github.com/go-appsec/toolbox-sidenuclei), un sidecar first-party qui exécute [Nuclei](https://github.com/projectdiscovery/nuclei) contre chaque point de terminaison que vous touchez. Démarrez sectool avec `--notes`, attachez `sidenuclei` à votre session, et il analyse chaque point de terminaison en utilisant la requête capturée réelle, de sorte que les tests s'exécutent avec vos paramètres, cookies et session authentifiée réels. Les découvertes apparaissent sous forme de notes `finding` liées au flux qui les a déclenchées, vous offrant une couverture supplémentaire pendant que vous et votre agent vous concentrez sur les tests manuels. ## Prise en charge de protocoles personnalisés Au-delà de HTTP et WebSocket, sectool prend en charge les protocoles personnalisés et binaires (généralement requête / réponse) via un modèle d'adaptateur sidecar. Écrivez un adaptateur pour vous connecter et communiquer en utilisant notre API sidecar. Le trafic sidecar arrive dans la même chronologie de flux unifiée, de sorte que `flow_get`, `diff_flow`, `replay_send` et d'autres outils fonctionnent sans modification. Les adaptateurs peuvent être écrits dans n'importe quel langage via l'API JSON-RPC 2.0, ou en Go avec le client SDK qui gère l'enregistrement, la mise en cache des règles et l'émission de flux. Le [SDK & protocole sidecar](https://github.com/go-appsec/toolbox/blob/main/sidecar/README.md) documente les deux.
