toolbox v0.2.0

आपके कोडिंग एजेंट के लिए MCP-आधारित एप्लिकेशन सुरक्षा परीक्षण उपकरण।

यह स्कैनर नहीं है — यह एक सहयोगी वर्कबेंच है। एजेंट UI और स्टेटफुल API के साथ संघर्ष करते हैं; आप दोनों में माहिर हैं। Sectool आपको इसके प्रॉक्सी के माध्यम से एक एप्लिकेशन का पता लगाने देता है, जबकि एक एजेंट उसी प्रमाणित ट्रैफ़िक का विश्लेषण और हेरफेर करता है जो आप उत्पन्न करते हैं।

आप ऑथ और UI इंटरैक्शन संभालते हैं, एजेंट फ़्लो क्वेरी करता है, अनुरोधों को म्यूटेट करता है, रिफ्लेक्शन ढूंढता है, आउट-ऑफ-बैंड इंटरैक्शन की निगरानी करता है, और अन्य क्रमपरिवर्तनों का प्रयास करता है। आपकी क्षमताओं को मिलाने से नियमित कार्य आसान हो जाते हैं, छिपे हुए संकेतकों के छूटने की संभावना कम हो जाती है, और जटिल परीक्षण अधिक गहन हो जाते हैं।

शुरुआत करना

1. sectool इंस्टॉल करें

go install github.com/go-appsec/toolbox/sectool@latest

Go नहीं है? अपने प्लेटफ़ॉर्म (Linux, macOS, Windows — amd64 और arm64) के लिए बाइनरी नवीनतम रिलीज़ से डाउनलोड करें।

2. MCP (Model Context Protocol) सर्वर शुरू करें

sectool mcp

यह पोर्ट 9119 पर एक MCP सर्वर और पोर्ट 8080 पर एक अंतर्निहित HTTP प्रॉक्सी शुरू करता है।

3. अपना ब्राउज़र कॉन्फ़िगर करें

अपने ब्राउज़र की प्रॉक्सी सेटिंग्स को 127.0.0.1:8080 पर पॉइंट करें (या --proxy-port के साथ निर्दिष्ट पोर्ट)।

HTTPS इंटरसेप्शन के लिए, ~/.sectool/ca.pem से CA प्रमाणपत्र इंस्टॉल करें (पहली बार चलाने पर स्वतः उत्पन्न)। अधिकांश ब्राउज़र इसे उनकी प्रमाणपत्र सेटिंग्स के माध्यम से स्वीकार करते हैं; macOS पर आप इसे सिस्टम कीचेन में भी जोड़ सकते हैं।

Burp का उपयोग कर रहे हैं? इसके बजाय Burp की प्रॉक्सी कॉन्फ़िगरेशन का पालन करें, फिर sectool को sectool mcp --burp के साथ शुरू करें।

4. अपने एजेंट को कनेक्ट करें

Claude Code:

claude mcp add --transport http sectool http://127.0.0.1:9119/mcp

Codex (~/.codex/config.toml):

[mcp_servers.sectool]
url = "http://127.0.0.1:9119/mcp"

5. सहयोग करें

एजेंट के साथ मिलकर एक परीक्षण योजना बनाएं और इसे एक साथ निष्पादित करें। एजेंट प्रॉक्सी इतिहास क्वेरी कर सकता है, संशोधित अनुरोधों को रीप्ले कर सकता है, एंडपॉइंट्स के लिए क्रॉल कर सकता है, और आउट-ऑफ-बैंड इंटरैक्शन का परीक्षण कर सकता है, जबकि आप प्रमाणीकरण या UI के साथ इंटरैक्ट करने और उसकी समीक्षा करने जैसी ब्राउज़र-आधारित क्रियाएं संभालते हैं।

सर्वर विकल्प

प्रॉक्सी बैकएंड

नेटिव: वायर-फिडेलिटी और HTTP/1.1, HTTP/2, और WebSocket समर्थन के साथ अंतर्निहित प्रॉक्सी। MITM परीक्षण के लिए Burp जितना सक्षम होने के लिए डिज़ाइन किया गया। एक ही बाइनरी MCP सर्वर, प्रॉक्सी, और CLI प्रदान करती है — पूरी तरह से स्व-निहित और हेडलेस वातावरण में उपयोग करने योग्य।

Burp (वैकल्पिक): यदि आप एजेंट की क्रियाओं की समीक्षा करने के लिए GUI पसंद करते हैं या पहले से ही Burp चला रहे हैं, तो BApp Store से MCP एक्सटेंशन इंस्टॉल करें और सुनिश्चित करें कि MCP सर्वर http://127.0.0.1:9876/ पर चलता है।

विकल्प	विवरण
(डिफ़ॉल्ट)	ऑटो-डिटेक्ट: पहले Burp MCP का प्रयास करता है, नेटिव प्रॉक्सी पर वापस आता है
--proxy-port 8080	निर्दिष्ट पोर्ट पर नेटिव प्रॉक्सी को बाध्य करें
--burp	Burp MCP को बाध्य करें (अनुपलब्ध होने पर विफल हो जाता है)

सत्र विकल्प

वर्कफ़्लो

जब एजेंट सत्र की शुरुआत में workflow टूल को कॉल करता है तो Sectool स्वचालित रूप से उपयुक्त वर्कफ़्लो निर्धारित करता है। आप इस चरण को छोड़ सकते हैं और वर्कफ़्लो को पहले से निर्दिष्ट करके टोकन बचा सकते हैं:

sectool mcp                        # Default: agent selects task type via workflow tool
sectool mcp --workflow explore     # Pre-set exploration mode
sectool mcp --workflow test-report # Pre-set validation mode
sectool mcp --workflow none        # No workflow instructions
sectool mcp --workflow multi       # Multiple agents share the server

मोड	विवरण
(डिफ़ॉल्ट)	एजेंट workflow टूल को कॉल करके कार्य प्रकार चुनता है, सहयोग निर्देश प्राप्त करता है
explore	खोजपूर्ण सुरक्षा परीक्षण; सभी टूल उपलब्ध
test-report	एक विशिष्ट भेद्यता रिपोर्ट का सत्यापन; क्रॉल टूल बाहर रखे गए
none	कोई वर्कफ़्लो निर्देश नहीं, सभी टूल तुरंत उपलब्ध
multi	जब कई उपयोगकर्ता या एजेंट सर्वर साझा करते हैं; उन सुविधाओं को छिपाता है जहां एक एजेंट दूसरे को भ्रमित कर सकता है

वर्कफ़्लो निर्देश एजेंटों को सब कुछ स्वायत्त रूप से करने की कोशिश करने या बिना मूल्य जोड़े आपको एक प्रक्रिया से गुजारने के बजाय सहयोगी परीक्षण की ओर मार्गदर्शन करते हैं। यदि एजेंट सहयोग को बेहतर बनाने के लिए आपके पास विचार हैं, तो एक इश्यू खोलें।

नोट्स

--notes फ़्लैग फ़्लो से जुड़े अवलोकनों को सहेजने के लिए notes_save और notes_list टूल को सक्षम करता है। छोटे सत्रों के लिए कॉन्टेक्स्ट उपयोग को न्यूनतम रखने के लिए डिफ़ॉल्ट रूप से अक्षम। इसे तब सक्षम करें जब आप कई निष्कर्षों या बातचीत संक्षेपण की अपेक्षा करते हैं।

MCP ट्रांसपोर्ट

सर्वर दो एंडपॉइंट प्रदान करता है:

• /mcp - Streamable HTTP (अनुशंसित)
• /sse - SSE (विरासत, पुराने क्लाइंट के लिए)

उदाहरण CLI उपयोग

CLI एजेंट के साथ स्थिति साझा करता है और समीक्षा, रीप्ले, और स्क्रिप्टिंग के लिए मानव-अनुकूल इंटरफ़ेस प्रदान करता है। सभी CLI कमांड MCP टूल से मैप होते हैं, इसलिए एजेंट समान स्थिति साझा करता है।

# Review what the proxy captured while you browsed
sectool proxy summary
sectool proxy list --host example.com
sectool proxy cookies --name session_id

# Crawl an app to discover endpoints and forms
sectool crawl create --url https://example.com
sectool crawl summary <session_id>

# Replay a captured request with modifications
sectool replay send --flow <flow_id> --set-header "X-Test: value"

# Set up out-of-band interaction testing and check for callbacks
sectool oast create
sectool oast poll <oast_id>
sectool oast get <event_id>

# Compare two flows, detect reflections, inspect JWTs
sectool diff <flow_a> <flow_b> --scope response
sectool reflected <flow_id>
sectool jwt <token>

# Export a flow, edit it offline, and resend
sectool proxy export <flow_id>
# ... edit ./sectool-requests/<flow_id>/request.http ...
sectool replay send --bundle <flow_id>

विस्तृत विकल्पों के लिए sectool <command> --help का उपयोग करें।

मुख्य विशेषताएं