Moxy

Moxy（次世代Man-in-the-Middleプロキシ） エージェント型AI機能（Ollama対応）を搭載したペネトレーションテスト用のオープンソースDASTツール。browser-use上に構築されたMoxyは、動的アプリケーションセキュリティテスト（DAST）を効率化します。

🚀 驚くほど簡単に使えます

しかも無料です。無料が嫌いな人はいませんよね？

プレビューに関する注意:
🚧 Moxyは現在活発に開発中であり、プレビュー/ベータ版です。
破壊的変更、不安定性、不足機能が発生する可能性があります。
自己責任で使用し、最新の改善についてはプロジェクトの更新情報をフォローしてください。

クイックスタート

現時点では、フロントエンドとバックエンドを個別に起動する必要があります。

前提条件

Moxyを実行する前に、高速なPythonパッケージインストーラ兼リゾルバである uv (astral-uv) をインストールする必要があります。

uv のインストール:

• 公式インストールガイド に従って、システムに uv をインストールしてください。

注意:
uv はバックエンドのPython依存関係を管理するために必要です。インストールされていない場合、バックエンドコマンドは失敗します。

バックエンドの起動

1. バックエンドディレクトリに移動:

   root@kitploit:~

   cd backend
   

2. 依存関係をインストールしてバックエンドサーバーを起動:

   root@kitploit:~

   uv sync
   uv run moxy
   

フロントエンドの起動

1. フロントエンドディレクトリに移動:

   root@kitploit:~

   cd frontend
   

2. 依存関係をインストール:

   root@kitploit:~

   npm install
   

3. フロントエンド開発サーバーを起動:

   root@kitploit:~

   npm run moxy
   

注意:
デフォルトでは、フロントエンドは http://localhost:8080、
バックエンドは http://localhost:5000 で動作します。

Dockerデプロイメント

MoxyはDockerを使用して実行でき、デプロイが容易になり一貫した環境が得られます。
この方法で簡単に共同作業やインストールが可能です。

Dockerでのクイックスタート

オプション1: ビルド済みイメージを使用（推奨）

projects_data は必要なすべてのデータベースとログを保持するデータフォルダです。

GitHub Container Registryからビルド済みイメージをプルして実行:

docker run -d \
  --name moxy \
  -p 5000:5000 \
  -p 8081:8081 \
  -v $(pwd)/projects_data:/app/projects_data \
  ghcr.io/matank001/moxy:latest

オプション2: ソースからビルド

1. コンテナをビルドして起動:

   root@kitploit:~

   docker-compose up -d --build
   

2. アプリケーションにアクセス:

   • フロントエンド: http://localhost:5000
   • プロキシ: http://localhost:8081

3. プロキシを使用するようにブラウザを設定:

   Dockerで実行する場合、手動でブラウザにプロキシを設定する必要があります:

   • Proxy Host: localhost（または 127.0.0.1）
   • Proxy Port: 8081
   • Protocol: HTTP

   注意:
   プロキシはDockerコンテナ内で動作しますが、ホストマシンの localhost:8081 からアクセスできます。
   ブラウザのネットワーク設定でプロキシ設定を構成するか、プロキシ管理用のブラウザ拡張機能を使用できます。

4. ログを表示:

   root@kitploit:~

   docker-compose logs -f
   

5. コンテナを停止:

   root@kitploit:~

   docker-compose down
   

環境変数

プロジェクトルートに .env ファイルを作成してアプリケーションを設定します（backend/ ディレクトリ内に配置する必要があります）:

注意:
.env ファイルはオプションです。Docker Composeは、存在する場合は自動的に読み込みます（存在しなくても警告は出ません）。
すべてのプロジェクトデータは projects_data ディレクトリに保持され、ボリュームとしてマウントされます。

エージェント型ツール

デフォルトでは、MoxyはAIの設定や認証情報を必要とせずに動作します。ブラウザベースのDASTフローも、有効にしない限りAIを使用しません。

エージェント型AIの有効化

Moxyはエージェント機能のために OpenAIのAPI と Ollama（ローカルAI）の両方をサポートしています。AI搭載機能を有効にするには:

ローカル開発の場合: backend ディレクトリに適切な設定で .env ファイルを作成します。

Dockerの場合: プロジェクトルート（docker-compose.yml と同じディレクトリ）に .env ファイルを作成します。

オプション1: OpenAI APIの使用

OpenAIを使用したクラウドベースのAI処理の場合、.envファイルを次のように設定します:

OPENAI_API_KEY=sk-proj-...             # あなたのOpenAI APIキー
MODEL=gpt-4o-mini                       # オプション: 指定しない場合のデフォルトはgpt-4o-mini

オプション2: Ollamaの使用（ローカルAI）

Ollamaを使用したローカルAI処理の場合、.envファイルを次のように設定します:

USE_OLLAMA=true
OPENAI_API_KEY=test                    # 必須ですが、Ollama使用時は値は無視されます
OPENAI_BASE_URL=http://localhost:11434/v1/  # Ollama APIエンドポイント
MODEL=qwen3:8b                         # お好みのOllamaモデル

エージェントの機能:

• 以前に取得したHTTPリクエストをクエリ
• 新しいリクエストの送信/変更/再送信
• 動的テストとリクエスト作成のための実際のブラウザ操作（browser-use を使用）

エージェントはAIを使用してアプリケーションの攻撃対象領域を推論し、トラフィックの再生や変更、さらにはブラウザセッションを駆動して新しいテストシナリオを生成します。

警告:
エージェント型AIモードは現在実験的であり、不安定な可能性があります。

プロキシ

Moxyは MITMproxy をインターセプトHTTP/HTTPSプロキシとして活用し、動的アプリケーションセキュリティテスト中にトラフィックをキャプチャおよび変更します。

デフォルトでは、プロキシは ポート8081 で実行されます。 ブラウザまたはシステムのプロキシ設定で http://localhost:8081 を指定することで、トラフィックをMITMproxy経由でルーティングし、Moxyがリアルタイムでリクエストを分析および操作できるようにします。

FirefoxでのMoxyの設定方法

FirefoxからのHTTPおよびHTTPSトラフィックをMoxyで分析するには、FirefoxがMoxyのプロキシを使用するように設定し、プロキシ証明書をインポートして、ブラウザトラフィック（HTTPSを含む）を適切にインターセプトできるようにする必要があります。

ステップ1: Moxyとプロキシを起動

Moxy（およびそのMITMproxyプロセス）が実行されていることを確認します。

ステップ2: プロキシを使用するようにFirefoxを設定

1. Firefoxを開きます。
2. 設定（システムによっては環境設定）に移動します。
3. 下部にあるネットワーク設定セクションまでスクロールします。
4. 「ネットワーク設定」の横にある**設定…**をクリックします。
5. 手動でプロキシを設定するを選択します。
6. HTTPプロキシを localhost、ポートを 8081 に設定します。
   • HTTPSにもこのプロキシを使用するにチェックを入れるか、SSLプロキシも同様に localhost:8081 に設定します。
7. OKをクリックして保存します。

これで、すべてのブラウザトラフィックがMoxyのプロキシ http://localhost:8081 経由でルーティングされます。

ステップ3: プロキシ証明書をインポート

1. Firefoxで（プロキシを有効にしたまま）、http://mitm.it にアクセスします。
2. ページに各種証明書のダウンロードリンクが表示されます。Firefox（表示されない場合は「Other」）のリンクをクリックして、証明書（例: mitmproxy-ca-cert.pem）をダウンロードします。
3. Firefoxの設定 → プライバシーとセキュリティに移動します。
4. 証明書セクションまでスクロールし、**証明書を表示…**をクリックします。
5. 証明書マネージャーで、認証局タブに移動します。
6. **インポート…**をクリックし、ダウンロードした証明書ファイルを選択します。
7. プロンプトが表示されたら、両方のチェックボックスをオンにします:
   • この認証局によるウェブサイトの識別を信頼する
   • （オプション）この認証局による電子メール利用者の識別を信頼する
8. OKをクリックして確定します。
9. プロンプトが表示された場合、またはHTTPSサイトが警告なしで読み込めない場合は、Firefoxを再起動します。

これらの手順を完了すると、FirefoxはMoxyのプロキシによってインターセプトされたHTTPS接続を信頼するようになります。
これで、証明書警告なしにHTTPおよびHTTPS経由で動的にWebアプリケーションを分析およびテストする準備が整いました。

詳細については、MITMproxyの証明書ドキュメントを参照してください。

データベース構造

• moxy.db - プロジェクトメタデータを保存するメインデータベース
• projects_data/{project_name}.db - 個別のプロジェクトデータベース（プロジェクト名に基づき、サニタイズされた名前）
  • 各プロジェクトに独自のSQLiteデータベースファイルが割り当てられます
  • プロジェクト名が変更されると、データベースファイルは自動的にリネームされます
  • プロジェクトが削除されると、そのデータベースファイルも削除されます

警告:
現段階では、データベースのマイグレーションやバージョン間の後方互換性は保証されていません。将来のバージョンでは古いデータベースファイルとの互換性が失われる可能性があります。アップグレードを予定している場合は注意して使用してください。

倫理的な使用に関する免責事項

Moxyは倫理的なセキュリティテストおよび研究目的のみに設計されています。自身が所有する、または明示的なテスト許可を得たアプリケーションの脆弱性を特定し、修正するためのセキュリティ専門家、開発者、組織を支援することを目的としています。