Moxy

Moxy est un outil DAST open-source conçu pour les tests de sécurité modernes des applications web. Il offre une interface facile à utiliser avec des capacités agentiques pour assister et automatiser les workflows de pentesting.

• Suivez le guide d'installation officiel pour installer uv sur votre système.

Remarque :
uv est requis pour gérer les dépendances Python dans le backend. Si vous ne l'avez pas installé, les commandes du backend échoueront.

Exécution du backend

1. Accédez au répertoire backend :

   root@kitploit:~

   cd backend
   

2. Installez les dépendances et exécutez le serveur backend :

   root@kitploit:~

   uv sync
   uv run moxy
   

Exécution du frontend

1. Accédez au répertoire frontend :

   root@kitploit:~

   cd frontend
   

2. Installez les dépendances :

   root@kitploit:~

   npm install
   

3. Démarrez le serveur de développement frontend :

   root@kitploit:~

   npm run moxy
   

Remarque :
Par défaut, le frontend s'exécute sur http://localhost:8080
et le backend s'exécute sur http://localhost:5000

Déploiement Docker

Moxy peut être exécuté avec Docker pour un déploiement plus facile et des environnements cohérents. De cette façon, vous pouvez collaborer et installer facilement.

Démarrage rapide avec Docker

Option 1 : Utilisation d'une image pré-construite (Recommandée)

projects_data contient toutes les bases de données et les journaux nécessaires. C'est le dossier de données.

Tirez et exécutez l'image pré-construite depuis le registre de conteneurs GitHub :

Option 2 : Construire à partir des sources

1. Construisez et démarrez le conteneur :

   root@kitploit:~

   docker-compose up -d --build
   

2. Accédez à l'application :

   • Frontend : http://localhost:5000
   • Proxy : http://localhost:8081

3. Configurez votre navigateur pour utiliser le proxy :

   Lors de l'exécution dans Docker, vous devez configurer manuellement votre navigateur pour utiliser le proxy :

   • Hôte du proxy : localhost (ou 127.0.0.1)
   • Port du proxy : 8081
   • Protocole : HTTP

   Remarque :
   Le proxy s'exécute à l'intérieur du conteneur Docker mais est accessible sur localhost:8081 sur votre machine hôte.
   Vous pouvez configurer les paramètres du proxy dans les paramètres réseau de votre navigateur ou utiliser des extensions de navigateur pour la gestion du proxy.

4. Consultez les journaux :

   root@kitploit:~

   docker-compose logs -f
   

5. Arrêtez le conteneur :

   root@kitploit:~

   docker-compose down
   

Variables d'environnement

Créez un fichier .env à la racine du projet pour configurer l'application (vous devez le placer dans le répertoire backend/) :

Remarque :
Le fichier .env est optionnel. Docker Compose le charge automatiquement s'il est présent (aucun avertissement s'il manque).
Toutes les données du projet sont persistées dans le répertoire projects_data, qui est monté en tant que volume.

Outil agentique

Par défaut, Moxy fonctionne sans nécessiter de configuration ou d'identifiants IA - même les flux DAST basés sur le navigateur n'utilisent pas l'IA à moins d'être activés.

Activation de l'IA agentique

Moxy prend en charge à la fois l'API d'OpenAI et Ollama (IA locale) pour les fonctionnalités agentiques. Pour activer les capacités alimentées par l'IA :

Pour le développement local : Créez un fichier .env dans le répertoire backend avec la configuration appropriée.

Pour Docker : Créez un fichier .env à la racine du projet (même répertoire que docker-compose.yml).

Option 1 : Utilisation de l'API OpenAI

Pour le traitement IA basé sur le cloud avec OpenAI, configurez votre fichier .env comme suit :

Option 2 : Utilisation d'Ollama (IA locale)

Pour le traitement IA local avec Ollama, configurez votre fichier .env comme suit :

Capacités de l'agent :

• Interroger les requêtes HTTP précédemment capturées
• Envoyer/modifier/renvoyer de nouvelles requêtes
• Piloter un vrai navigateur (en utilisant browser-use) pour des tests dynamiques et la création de requêtes

L'agent utilise l'IA pour raisonner sur la surface d'attaque de votre application, rejouer ou modifier le trafic, et même piloter des sessions navigateur pour générer de nouveaux scénarios de test.

Avertissement :
Les modes IA agentiques sont actuellement expérimentaux et peuvent être instables.

Proxy

Moxy utilise MITMproxy comme proxy d'interception HTTP/HTTPS pour capturer et modifier le trafic lors des tests de sécurité dynamiques des applications.

Par défaut, le proxy s'exécute sur le port 8081. Vous pouvez configurer votre navigateur ou système pour utiliser http://localhost:8081 comme proxy afin d'acheminer le trafic via MITMproxy et permettre à Moxy d'analyser et d'interagir avec les requêtes en temps réel.

Comment configurer Moxy dans Firefox

Pour analyser le trafic HTTP et HTTPS depuis Firefox via Moxy, vous devez configurer Firefox pour utiliser le proxy de Moxy et importer le certificat du proxy afin que le trafic du navigateur (y compris HTTPS) puisse être correctement intercepté.

Étape 1 : Démarrer Moxy et le proxy

Assurez-vous que Moxy (et son processus MITMproxy) est en cours d'exécution.

Étape 2 : Configurer Firefox pour utiliser le proxy

1. Ouvrez Firefox.
2. Allez dans Paramètres (ou Préférences sur certains systèmes).
3. Descendez jusqu'à la section Paramètres réseau (en bas).
4. Cliquez sur Paramètres… à côté de "Paramètres réseau."
5. Choisissez Configuration manuelle du proxy.
6. Définissez Proxy HTTP sur localhost et Port sur 8081.
   • Cochez Utiliser aussi ce proxy pour HTTPS ou définissez Proxy SSL sur localhost:8081 également.
7. Cliquez sur OK pour enregistrer.

Maintenant, tout le trafic du navigateur sera acheminé via le proxy de Moxy à http://localhost:8081.

Étape 3 : Importer le certificat du proxy

1. Dans Firefox (avec le proxy toujours activé), naviguez vers http://mitm.it.
2. La page affichera des liens de téléchargement pour différents certificats. Cliquez sur le lien pour Firefox (ou "Autre" s'il n'est pas listé) pour télécharger le certificat (par exemple, mitmproxy-ca-cert.pem).
3. Allez dans Paramètres → Vie privée et sécurité dans Firefox.
4. Descendez jusqu'à la section Certificats et cliquez sur Afficher les certificats…
5. Dans le gestionnaire de certificats, allez dans l'onglet Autorités.
6. Cliquez sur Importer… et sélectionnez le fichier de certificat que vous avez téléchargé.
7. Lorsque vous y êtes invité, cochez les deux cases :
   • Faire confiance à cette autorité pour identifier des sites web
   • (Optionnel) Faire confiance à cette autorité pour identifier des utilisateurs de messagerie
8. Cliquez sur OK pour confirmer.
9. Redémarrez Firefox si invité ou si les sites HTTPS ne se chargent toujours pas sans avertissements.

Après avoir terminé ces étapes, Firefox fera confiance aux connexions HTTPS interceptées par le proxy de Moxy.
Vous êtes maintenant prêt à analyser et tester dynamiquement des applications web via HTTP et HTTPS sans avertissements de certificat.

Pour plus de détails, consultez la documentation sur les certificats de MITMproxy.

Structure de la base de données

• moxy.db - Base de données principale contenant les métadonnées du projet
• projects_data/{project_name}.db - Bases de données individuelles des projets (nommées d'après le projet, nettoyées)
  • Chaque projet obtient son propre fichier de base de données SQLite
  • Lorsqu'un projet est renommé, son fichier de base de données est automatiquement renommé
  • Lorsqu'un projet est supprimé, son fichier de base de données est supprimé

Avertissement :
À ce stade, il n'y a aucune garantie de migration de base de données ou de rétrocompatibilité entre les versions—les versions futures peuvent casser la compatibilité avec les anciens fichiers de base de données. Utilisez avec prudence si vous prévoyez de mettre à jour.

Clause de non-responsabilité sur l'utilisation éthique

Moxy est conçu strictement pour des tests de sécurité éthiques et des fins de recherche. Il est destiné à aider les professionnels de la sécurité, les développeurs et les organisations à identifier et corriger les vulnérabilités dans les applications dont ils sont propriétaires ou pour lesquelles ils ont une autorisation explicite de tester.