_{CI: suite · goldens · perf-check — बेसलाइन 281.9ms / 19 पेज (tests/perf/baseline.json) — .github/workflows/ci.yml}

pwnproxy

एक सुरक्षा परीक्षण इंजन। हर इंटरफ़ेस।

पेंटेस्टर्स, AI एजेंट्स, CI/CD पाइपलाइनों और टीमों के लिए एक खुला, लोकल-फ़र्स्ट सुरक्षा परीक्षण प्लेटफ़ॉर्म।

---

सुरक्षा परीक्षण अब केवल डेस्कटॉप-आधारित वर्कफ़्लो नहीं है

पारंपरिक सुरक्षा उपकरण एक डेस्कटॉप इंटरफ़ेस का उपयोग करने वाले एकल परीक्षक के इर्द-गिर्द डिज़ाइन किए गए थे।

pwnproxy एक साझा सुरक्षा परीक्षण इंजन के इर्द-गिर्द बनाया गया है जिसे टर्मिनल, TUI, REST API, WebSocket स्ट्रीम, CI/CD पाइपलाइनों, या MCP के माध्यम से AI एजेंट्स द्वारा नियंत्रित किया जा सकता है।

                    ┌─────────────────────┐
                    │    pwnproxy core    │
                    │                     │
                    │ Proxy · Scanners    │
                    │ Repeater · Intruder │
                    │ Sessions · Plugins  │
                    └──────────┬──────────┘
                               │
       ┌───────────┬───────────┼───────────┬───────────┐
       ▼           ▼           ▼           ▼           ▼
      CLI         TUI        REST API   WebSocket      MCP
       │           │           │           │           │
  Pentesters   Pentesters   Automation   Teams      AI Agents

वही कोर तब भी उपयोग होता है जब आप मैन्युअली ट्रैफ़िक इंटरसेप्ट कर रहे हों, स्वचालित स्कैन चला रहे हों, CI/CD में सुरक्षा जाँचें एकीकृत कर रहे हों, या किसी AI एजेंट को आपके परीक्षण वर्कफ़्लो तक पहुँच दे रहे हों।

pwnproxy क्यों?

लोकल-फ़र्स्ट

प्रॉक्सी, स्कैनर, स्टोरेज और ऑटोमेशन आपके इंफ्रास्ट्रक्चर पर चलते हैं।

कोर परीक्षण वर्कफ़्लो के लिए किसी क्लाउड निर्भरता की आवश्यकता नहीं है।

एक इंजन, कई इंटरफ़ेस

CLI, TUI, REST API, WebSocket स्ट्रीम और MCP सर्वर एक ही अंतर्निहित सिस्टम के इंटरफ़ेस हैं।

मैन्युअल परीक्षण और ऑटोमेशन के लिए आपको अलग-अलग टूल्स की आवश्यकता नहीं है।

ऑटोमेशन के लिए निर्मित

कमांड लाइन से सीधे स्कैन चलाएँ, JSON या SARIF आउटपुट प्राप्त करें, और निष्कर्षों को CI/CD पाइपलाइनों में एकीकृत करें।

AI-नेटिव

pwnproxy अपनी क्षमताओं को एक नेटिव MCP सर्वर के माध्यम से उजागर करता है ताकि संगत AI एजेंट उसी परीक्षण इंजन के साथ इंटरैक्ट कर सकें जिसका उपयोग मानव ऑपरेटर करते हैं।

एक्सटेंसिबल

स्कैनर और हुक एक प्लगइन आर्किटेक्चर का उपयोग करते हैं जो बिल्ट-इन और तृतीय-पक्ष एक्सटेंशन के लिए डिज़ाइन किया गया है।

क्विकस्टार्ट

1. क्लोन करें और इंस्टॉल करें

git clone https://github.com/ericmtzmtz/pwnproxy.git
cd pwnproxy

poetry install

Python 3.12 या बाद का संस्करण आवश्यक है।

2. प्रॉक्सी और API प्रारंभ करें

poetry run pwnproxy start --proxy-port 8080 --api-port 8000

• Proxy → 127.0.0.1:8080
• API → 127.0.0.1:8000
• Docs → http://127.0.0.1:8000/docs

3. प्रॉक्सी के माध्यम से ट्रैफ़िक भेजें

curl -x http://127.0.0.1:8080 http://httpbin.org/get

4. कैप्चर किए गए ट्रैफ़िक का निरीक्षण करें

poetry run pwnproxy history

या सीधे किसी लक्ष्य को स्कैन करें

poetry run pwnproxy scan url https://example.com \
  --scanners sqli,xss \
  --output sarif \
  --output-file report.sarif

एक्ज़िट कोड:

कोड	अर्थ
0	स्कैन पूर्ण, कोई निष्कर्ष नहीं
1	स्कैन पूर्ण, निष्कर्ष मिले
2	त्रुटि

pwnproxy वर्तमान में Poetry का उपयोग करके स्रोत से इंस्टॉल किया जाता है (0.1.0 प्री-रिलीज़; CHANGELOG.md में 0.2.0-dev)। PyPI पैकेजिंग भविष्य के रिलीज़ के लिए नियोजित है।

कॉन्फ़िगरेशन ~/.pwnproxy/config.toml में रहता है — [triage] / [llm] / max_llm_per_scan और स्कोप सेटिंग्स के लिए config.example.toml देखें। कोर परीक्षण (प्रॉक्सी, स्कैनर, स्टोरेज) LLM API कुंजी के बिना काम करता है; ट्राइएज डिफ़ॉल्ट रूप से ह्यूरिस्टिक्स पर चलता है।

विशेषताएँ

इंटरसेप्टिंग प्रॉक्सी

HTTP/HTTPS ट्रैफ़िक को रोकें, निरीक्षण करें, संशोधित करें और फिर से शुरू करें।

• mitmproxy-आधारित इंटरसेप्शन
• Textual TUI
• अनुरोध और प्रतिक्रिया निरीक्षण
• सत्र-जागरूक ट्रैफ़िक स्टोरेज
• REST API एक्सेस
• रीयल-टाइम इवेंट स्ट्रीमिंग

स्वचालित स्कैनर

अंतर्निहित स्कैनर में वर्तमान में शामिल हैं:

स्कैनर	पहचान
SQLi	त्रुटि-आधारित (हस्ताक्षर + नकारात्मक नियंत्रण / एंटी-WAF गार्ड के साथ म्यूट 5xx), बूलियन-ब्लाइंड (मल्टी-राउंड + बेसलाइन), समय-आधारित, OOB
XSS	संदर्भ-जागरूक शोषणीयता के साथ परावर्तित/संग्रहीत (परावर्तन ≠ XSS); स्थिर DOM सिंक सिग्नल (dom-xss, अनुमानित)
LFI	सामग्री हस्ताक्षर, ट्रैवर्सल, और PHP रैपर
XXE	त्रुटि-आधारित, XInclude, JSON म्यूटेशन, और OOB वर्कफ़्लो
SSRF	केवल OOB/कॉलबैक पुष्टि (फेल-क्लोज़्ड; कोई अनुमानित त्रुटि-आधारित SSRF नहीं)

निष्कर्ष तीन विश्वास स्तरों का उपयोग करते हैं — tentative, inferred, और confirmed — ताकि कमज़ोर सिग्नल को शोषण के रूप में न माना जाए। LLM ट्राइएज ऑप्ट-इन है; डिफ़ॉल्ट रूप से पाइपलाइन ह्यूरिस्टिक्स पर रहती है और कभी भी tentative निष्कर्ष LLM जज को नहीं भेजती।

स्कैनर कैप्चर किए गए फ़्लो का उपभोग करते हैं और हेडलेस मोड में सीधे निष्पादित भी किए जा सकते हैं।

रिपीटर

प्रॉक्सी से स्वतंत्र रूप से कच्चे HTTP अनुरोधों को फिर से चलाएँ और संशोधित करें।

निष्कर्ष अनुरोध डेटा को संरक्षित रखते हैं ताकि पाई गई समस्याओं को मैन्युअल रूप से सत्यापित किया जा सके।

इंट्रूडर

Burp-शैली §marker§ स्थितियों का उपयोग करके अनुरोध फ़ज़िंग।

समर्थित मोड में शामिल हैं:

• Sniper
• Cluster Bomb

डायरेक्टरी डिस्कवरी

वर्डलिस्ट-आधारित पथ और फ़ाइल खोज के साथ:

• अंतर्निहित वर्डलिस्ट
• कस्टम एक्सटेंशन
• सॉफ्ट-404 पहचान
• स्कोप प्रवर्तन
• लाइव परिणाम स्ट्रीमिंग

सत्र प्रबंधन

स्वचालित रूप से निकालें और संग्रहीत करें:

• JWT
• कुकीज़
• CSRF टोकन

सत्र अलग-थलग और स्थानीय रूप से स्थायी होते हैं।

प्लगइन सिस्टम

कस्टम स्कैनर और हुक के साथ pwnproxy का विस्तार करें।

प्लगइन हो सकते हैं:

• कोर में अंतर्निहित
• स्थानीय रूप से इंस्टॉल किए गए
• Python पैकेज के रूप में वितरित

अंतर्निहित और तृतीय-पक्ष स्कैनर के लिए समान प्लगइन इंटरफ़ेस का उपयोग किया जाता है।

एक वॉचडॉग प्लगइन विफलताओं को ट्रैक करता है और बार-बार विफल होने वाले प्लगइन को स्वचालित रूप से अक्षम कर सकता है।

एक इंजन, कई इंटरफ़ेस

CLI

pwnproxy को सीधे टर्मिनल से चलाएँ।

pwnproxy start
pwnproxy history
pwnproxy findings
pwnproxy scan url https://example.com
pwnproxy plugin list
pwnproxy session list

TUI

इनके लिए एक इंटरैक्टिव टर्मिनल इंटरफ़ेस का उपयोग करें:

• कैप्चर किया गया ट्रैफ़िक
• रिक्वेस्ट इंटरसेप्शन
• निष्कर्ष
• रिपीटर वर्कफ़्लो
• सत्र निरीक्षण

REST API

प्लेटफ़ॉर्म को प्रोग्रामेटिक रूप से नियंत्रित करें।

curl http://127.0.0.1:8000/api/v1/flows

The API निम्नलिखित के लिए कार्यक्षमता प्रदान करता है:

• proxy lifecycle
• traffic
• findings
• sessions
• scanners
• repeater
• intruder
• plugins
• crawling
• directory discovery

इंटरैक्टिव API दस्तावेज़ीकरण यहाँ उपलब्ध है:

http://127.0.0.1:8000/docs

WebSocket

traffic, findings, crawler गतिविधि और अन्य वर्कफ़्लो के लिए रीयल-टाइम इवेंट्स प्राप्त करें।

उदाहरण स्ट्रीम:

• /ws/traffic
• /ws/findings
• /ws/events

यह बाहरी इंटरफ़ेस और ऑटोमेशन सिस्टम को रीयल-टाइम में परीक्षण गतिविधि पर प्रतिक्रिया देने की अनुमति देता है।

AI एजेंट्स के लिए निर्मित

pwnproxy में एक नेटिव MCP सर्वर शामिल है जो परीक्षण प्लेटफ़ॉर्म को MCP-संगत एजेंट्स के लिए उपलब्ध कराता है।