toolbox v0.2.0
Test collaborativi di sicurezza delle applicazioni tra umani e agenti tramite CLI e MCP
-Significant%20AI%2C%20fully%20reviewed-1f77b4){kind=icon}
Strumenti di application security testing basati su MCP per il tuo coding agent.
Non uno scanner — un banco di lavoro collaborativo. Gli agent faticano con UI e API stateful; tu sei bravo in entrambe. Sectool ti permette di esplorare un'applicazione attraverso il suo proxy mentre un agent analizza e manipola lo stesso traffico autenticato che generi.
Tu gestisci l'autenticazione e le interazioni con la UI, l'agent interroga i flussi, modifica le richieste, trova riflessioni, monitora interazioni out-of-band e tenta altre permutazioni. Combinare le vostre capacità rende più semplici le attività di routine, riduce la probabilità di trascurare indicatori nascosti e rende più approfonditi i test complessi.
Per iniziare
1. Installa sectool
go install github.com/go-appsec/toolbox/sectool@latest
Non hai Go? Scarica il binario per la tua piattaforma (Linux, macOS, Windows — amd64 e arm64) dalla ultima release.
2. Avvia il server MCP (Model Context Protocol)
sectool mcp
Questo avvia un server MCP sulla porta 9119 con un proxy HTTP integrato sulla porta 8080.
3. Configura il tuo browser
Imposta le impostazioni del proxy del browser su 127.0.0.1:8080 (o sulla porta specificata con --proxy-port).
Per l'intercettazione HTTPS, installa il certificato CA da ~/.sectool/ca.pem (generato automaticamente al primo avvio). La maggior parte dei browser lo accetta tramite le proprie impostazioni dei certificati; su macOS puoi anche aggiungerlo al portachiavi di sistema.
Usi Burp? Segui invece la configurazione del proxy di Burp, poi avvia sectool con sectool mcp --burp.
4. Connetti il tuo agent
Claude Code:
claude mcp add --transport http sectool http://127.0.0.1:9119/mcp
Codex (~/.codex/config.toml):
[mcp_servers.sectool]
url = "http://127.0.0.1:9119/mcp"
5. Collabora
Lavora con l'agent per costruire un piano di test ed eseguirlo insieme. L'agent può interrogare la cronologia del proxy, riprodurre richieste modificate, eseguire il crawling per endpoint e testare interazioni out-of-band mentre tu gestisci azioni basate su browser come l'autenticazione o l'interazione con la UI e la sua revisione.
Opzioni del server
Backend del proxy
Nativo: Proxy integrato con wire-fidelity e supporto HTTP/1.1, HTTP/2 e WebSocket. Progettato per essere capace quanto Burp per il testing MITM. Un singolo binario fornisce il server MCP, il proxy e la CLI — completamente autonomo e utilizzabile in ambienti headless.
Burp (opzionale): Se preferisci una GUI per rivedere le azioni dell'agent o hai già Burp in esecuzione, installa l'estensione MCP dal BApp Store e assicurati che il server MCP sia in esecuzione su http://127.0.0.1:9876/.
| Opzione | Descrizione |
|---|---|
| (predefinito) | Rilevamento automatico: prova prima Burp MCP, altrimenti usa il proxy nativo |
--proxy-port 8080 | Forza il proxy nativo sulla porta specificata |
--burp | Forza Burp MCP (fallisce se non disponibile) |
Opzioni di sessione
Workflow
Sectool determina automaticamente il workflow appropriato quando l'agent chiama lo strumento workflow all'inizio di una sessione. Puoi saltare questo passaggio e risparmiare token specificando il workflow in anticipo:
sectool mcp # Default: agent selects task type via workflow tool
sectool mcp --workflow explore # Pre-set exploration mode
sectool mcp --workflow test-report # Pre-set validation mode
sectool mcp --workflow none # No workflow instructions
sectool mcp --workflow multi # Multiple agents share the server
| Modalità | Descrizione |
|---|---|
| (predefinita) | L'agent seleziona il tipo di attività chiamando lo strumento workflow, riceve istruzioni di collaborazione |
explore | Security testing esplorativo; tutti gli strumenti disponibili |
test-report | Validazione di uno specifico report di vulnerabilità; strumenti di crawling esclusi |
none | Nessuna istruzione di workflow, tutti gli strumenti disponibili immediatamente |
multi | Per quando più utenti o agent condividono il server; nasconde le funzionalità in cui un agent potrebbe confondere un altro |
Le istruzioni di workflow guidano gli agent verso un testing collaborativo invece di cercare di fare tutto in autonomia o di accompagnarti attraverso un processo senza aggiungere valore. Se hai idee per migliorare la collaborazione degli agent, apri una issue.
Note
Il flag --notes abilita gli strumenti notes_save e notes_list per salvare osservazioni collegate ai flussi. Disabilitato per impostazione predefinita per mantenere minimo l'uso del contesto nelle sessioni brevi. Abilitalo quando prevedi molteplici findings o compattazioni della conversazione.
Trasporti MCP
Il server espone due endpoint:
/mcp- Streamable HTTP (consigliato)/sse- SSE (legacy, per client più vecchi)
Esempio di utilizzo della CLI
La CLI condivide lo stato con l'agent e fornisce un'interfaccia user-friendly per rivedere, riprodurre e scriptare. Tutti i comandi della CLI corrispondono a strumenti MCP, quindi l'agent condivide lo stesso stato.
# Review what the proxy captured while you browsed
sectool proxy summary
sectool proxy list --host example.com
sectool proxy cookies --name session_id
# Crawl an app to discover endpoints and forms
sectool crawl create --url https://example.com
sectool crawl summary <session_id>
# Replay a captured request with modifications
sectool replay send --flow <flow_id> --set-header "X-Test: value"
# Set up out-of-band interaction testing and check for callbacks
sectool oast create
sectool oast poll <oast_id>
sectool oast get <event_id>
# Compare two flows, detect reflections, inspect JWTs
sectool diff <flow_a> <flow_b> --scope response
sectool reflected <flow_id>
sectool jwt <token>
# Export a flow, edit it offline, and resend
sectool proxy export <flow_id>
# ... edit ./sectool-requests/<flow_id>/request.http ...
sectool replay send --bundle <flow_id>
Usa sectool <command> --help per le opzioni dettagliate.