Bugsy

Bugsy एक कमांड-लाइन इंटरफ़ेस (CLI) टूल है जो आपके कोड के लिए स्वचालित सुरक्षा भेद्यता सुधार प्रदान करता है। यह Mobb का समुदाय संस्करण है, जो पहला विक्रेता-अज्ञेयवादी स्वचालित सुरक्षा भेद्यता सुधार उपकरण है। Bugsy डेवलपर्स को अपने कोड में सुरक्षा कमजोरियों को जल्दी से पहचानने और ठीक करने में मदद करने के लिए डिज़ाइन किया गया है।

Mobb क्या है?

Mobb पहला विक्रेता-अज्ञेयवादी स्वचालित सुरक्षा भेद्यता सुधार उपकरण है। यह Checkmarx, CodeQL (GitHub Advanced Security), OpenText Fortify, और Snyk से SAST परिणामों को ग्रहण करता है और डेवलपर्स द्वारा समीक्षा और अपने कोड में कमिट करने के लिए कोड फिक्स तैयार करता है।

Bugsy क्या करता है?

Bugsy के दो मोड हैं - स्कैन (SAST रिपोर्ट की आवश्यकता नहीं) और विश्लेषण (उपयोगकर्ता को समर्थित SAST टूल में से एक पूर्व-निर्मित SAST रिपोर्ट प्रदान करनी होगी)।

स्कैन

• किसी दिए गए खुले-स्रोत GitHub/GitLab/ADO रिपॉजिटरी पर SAST स्कैन चलाने के लिए Checkmarx या Snyk CLI टूल का उपयोग करता है
• स्वचालित रूप से सुधारे जा सकने वाले मुद्दों की पहचान करने के लिए भेद्यता रिपोर्ट का विश्लेषण करता है
• कोड फिक्स तैयार करता है और उपयोगकर्ता को Mobb प्लेटफ़ॉर्म पर फिक्स रिपोर्ट पृष्ठ पर रीडायरेक्ट करता है

विश्लेषण

• Checkmarx/CodeQL/Fortify/Snyk भेद्यता रिपोर्ट का विश्लेषण करता है ताकि स्वचालित रूप से सुधारे जा सकने वाले मुद्दों की पहचान हो सके
• कोड फिक्स तैयार करता है और उपयोगकर्ता को Mobb प्लेटफ़ॉर्म पर फिक्स रिपोर्ट पृष्ठ पर रीडायरेक्ट करता है

अस्वीकरण

यह एक समुदाय संस्करण है जो केवल सार्वजनिक GitHub रिपॉजिटरी का विश्लेषण करता है। निजी रिपॉजिटरी का विश्लेषण सीमित समय के लिए अनुमत है। Bugsy आपके कोड में कोई भेद्यता नहीं ढूंढता; यह ऊपर उल्लिखित SAST टूल द्वारा पाई गई खोजों का उपयोग करता है।

उपयोग

कमांड लाइन इंटरफ़ेस

आप npx का उपयोग करके कमांड लाइन से आसानी से Bugsy चला सकते हैं:

npx mobbdev

यह आपको Bugsy के उपयोग में मदद दिखाएगा:

Bugsy - Trusted, Automatic Vulnerability Fixer 🕵️‍♂️

Usage:
mobbdev <command> [options]


Commands:
  mobbdev scan     Scan your code for vulnerabilities, get automated fixes right away.
  mobbdev analyze  Provide a vulnerability report and relevant code repository, get automated fixes right away.

Options:
  -h, --help  Show help                                                                                        [boolean]

Examples:
  mobbdev scan -r https://github.com/WebGoat/WebGoat  Scan an existing repository

Made with ❤️ by Mobb

किसी रिपॉजिटरी पर नया SAST स्कैन चलाने और फिक्स प्राप्त करने के लिए, Bugsy Scan कमांड चलाएँ। उदाहरण:

npx mobbdev scan --repo https://github.com/mobb-dev/simple-vulnerable-java-project

पूर्व-निर्मित SAST रिपोर्ट के लिए फिक्स प्राप्त करने के लिए, Bugsy Analyze कमांड चलाएँ। उदाहरण: npx mobbdev analyze --scan-file sast_results.json --repo https://github.com/mobb-dev/simple-vulnerable-java-project

Bugsy परिणामों में पहचानी गई प्रत्येक समर्थित भेद्यता के लिए स्वचालित रूप से एक फिक्स उत्पन्न करेगा, और डेवलपर को अपने कोड में फिक्स की समीक्षा करने और कमिट करने का संदर्भ देगा।

Bugsy द्वारा अनुमत सभी विकल्पों को देखने के लिए, Scan या Analyze कमांड का उपयोग -h विकल्प के साथ करें:

npx mobbdev scan -h
npx mobbdev analyze -h

मॉडल कॉन्टेक्स्ट प्रोटोकॉल (MCP) सर्वर

Bugsy को MCP सर्वर के रूप में भी उपयोग किया जा सकता है, जिससे AI सहायक (जैसे Claude) आपके कोड रिपॉजिटरी में स्वचालित रूप से स्कैन और फिक्स कर सकते हैं।

आवश्यक शर्तें

1. API कुंजी: MCP सर्वर कार्यक्षमता का उपयोग करने के लिए आपको एक Mobb API कुंजी की आवश्यकता है

   • अपनी API कुंजी प्राप्त करने के लिए mobb.ai पर साइन अप करें
   • API_KEY पर्यावरण चर सेट करें: export API_KEY=your_api_key_here

2. स्थानीय Git रिपॉजिटरी: MCP सर्वर बिना कमिट किए गए परिवर्तनों वाली git रिपॉजिटरी का विश्लेषण करता है

   • सुनिश्चित करें कि आपका कोड स्थानीय git रिपॉजिटरी में है
   • विश्लेषण के लिए कुछ संशोधित, जोड़ी गई या स्टेज की गई फ़ाइलें रखें

इंस्टॉलेशन

कमांड लाइन से mobb-mcp चलाएँ:

npx mobbdev mcp

कॉन्फ़िगरेशन

अपने Cursor MCP क्लाइंट कॉन्फ़िगरेशन में Mobb MCP जोड़ें: API_URL केवल तभी आवश्यक है जब आप https://app.mobb.ai का उपयोग नहीं कर रहे हैं

{
  "mcpServers": {
    "mobb-mcp": {
      "command": "npx",
      "args": ["mobbdev", "mcp"],
      "env": {
        "API_KEY": "your_mobb_api_key_here",
        "API_URL": "optional__your_mobb_api_url_here",
        "MVS_AUTO_FIX": "true"
      }
    }
  }
}

पर्यावरण चर:

• API_KEY: आपकी Mobb API कुंजी (आवश्यक)
• API_URL: कस्टम Mobb API URL (वैकल्पिक, डिफ़ॉल्ट https://app.mobb.ai)
• MVS_AUTO_FIX: ऑटो-फिक्स सेटिंग ओवरराइड करें - उपयोगकर्ता के डेटाबेस सेटिंग की परवाह किए बिना स्वचालित फिक्स एप्लिकेशन को सक्षम/अक्षम करने के लिए "true" या "false" पर सेट करें (वैकल्पिक)

उपयोग

एक बार कॉन्फ़िगर होने के बाद, आप अपने AI सहायक के माध्यम से MCP सर्वर का उपयोग कर सकते हैं:

1. Claude से भेद्यता स्कैन करने के लिए कहें:

   root@kitploit:~

   run a scan with mobb-mcp
   

   या

   root@kitploit:~

   run fix-vulnerabilities mcp tool
   

2. MCP सर्वर:

   • रिपॉजिटरी पथ को मान्य करेगा
   • git परिवर्तनों की जाँच करेगा (संशोधित, जोड़ी गई या स्टेज की गई फ़ाइलें)
   • विश्लेषण के लिए बदली गई फ़ाइलों को अपलोड करेगा
   • पाई गई भेद्यताओं के लिए स्वचालित फिक्स उत्पन्न करेगा
   • विस्तृत फिक्स अनुशंसाएँ लौटाएगा

उपलब्ध MCP टूल

• fix_vulnerabilities: वर्तमान कोड परिवर्तनों को स्कैन करता है और संभावित भेद्यताओं के लिए फिक्स लौटाता है
  • पैरामीटर: path (स्ट्रिंग) - स्थानीय git रिपॉजिटरी का पथ
  • रिटर्न: कोड पैच और स्पष्टीकरण के साथ विस्तृत भेद्यता फिक्स

उदाहरण MCP वर्कफ़्लो

1. अपने कोड में परिवर्तन करें
2. git में फ़ाइलों को स्टेज या संशोधित करें
3. अपने AI सहायक से पूछें: "क्या आप मेरे कोड में सुरक्षा कमजोरियों की जाँच कर सकते हैं?"
4. सहायक आपके परिवर्तनों का विश्लेषण करने के लिए MCP सर्वर का उपयोग करेगा
5. कोड पैच के साथ विस्तृत फिक्स अनुशंसाएँ प्राप्त करें

समस्या निवारण

• "API_KEY environment variable is not set": सुनिश्चित करें कि आपने अपनी Mobb API कुंजी सेट की है
• "Path is not a valid git repository": सुनिश्चित करें कि आप एक मान्य git रिपॉजिटरी की ओर इशारा कर रहे हैं
• "No changed files found": सुनिश्चित करें कि आपकी रिपॉजिटरी में संशोधित, जोड़ी गई या स्टेज की गई फ़ाइलें हैं

CI/CD पाइपलाइन के भाग के रूप में Bugsy का उपयोग करना

यदि आप CI/CD पाइपलाइन के भाग के रूप में SAST स्कैन का उपयोग करते हैं, तो Bugsy को आसानी से जोड़ा जा सकता है और हर पाए गए मुद्दे के लिए तत्काल फिक्स प्रदान कर सकता है। आपकी पाइपलाइन में Bugsy चलाने वाली एक सरल कमांड लाइन का उदाहरण यहां दिया गया है:

npx mobbdev analyze --ci --scan-file $SAST_RESULTS_FILENAME --repo $CI_PROJECT_URL --ref $CI_COMMIT_REF_NAME --api-key $MOBB_API_KEY

पोलिंग मोड

डिफ़ॉल्ट रूप से, Bugsy विश्लेषण के दौरान रीयल-टाइम स्थिति अपडेट के लिए WebSocket कनेक्शन का उपयोग करता है। हालांकि, कुछ प्रॉक्सी वातावरण या फ़ायरवॉल WebSocket कनेक्शन को ब्लॉक कर सकते हैं। ऐसे मामलों में, आप इसके बजाय HTTP पोलिंग का उपयोग करने के लिए --polling फ्लैग का उपयोग कर सकते हैं:

npx mobbdev analyze --scan-file report.json --repo https://github.com/org/repo --polling

--polling का उपयोग कब करें:

• आपका नेटवर्क WebSocket कनेक्शन (ws:// या wss://) को ब्लॉक करता है
• आप कॉर्पोरेट प्रॉक्सी के पीछे हैं जो WebSocket का समर्थन नहीं करता
• आप डिफ़ॉल्ट WebSocket मोड में कनेक्शन टाइमआउट का अनुभव करते हैं

पोलिंग विशेषताएँ:

• पोलिंग अंतराल: 5 सेकंड
• टाइमआउट: 30 मिनट
• WebSocket मोड की तुलना में थोड़ी अधिक विलंबता, लेकिन प्रतिबंधित वातावरण में काम करता है

योगदान

निर्भरताएँ स्थापित करें और परीक्षण चलाएँ:

pnpm install

# या परिवर्तनों पर नज़र रखने के लिए npm run build:dev का उपयोग करें
pnpm run build

# या परिवर्तनों पर नज़र रखने के लिए npm test:watch का उपयोग करें
pnpm run test

डीबगिंग

यदि आप VSCode का उपयोग कर रहे हैं, तो आप कोड को डीबग करने के लिए launch.json फ़ाइल का उपयोग कर सकते हैं। परीक्षणों को लगातार चलाने और डीबग करने के लिए CLI tests कॉन्फ़िगरेशन चलाएँ।

सहायता प्राप्त करना

यदि आपको Bugsy का उपयोग करने में सहायता चाहिए या बस अपने विचार साझा करना और अधिक जानना चाहते हैं, तो आप हमारे डिस्कॉर्ड सर्वर में शामिल होने के लिए स्वागत हैं।