Ferret

セキュリティテスター向けのコラボレーティブMITMプロキシ。

HTTPトラフィックのキャプチャ、AIによるリクエストの注釈付け、ハントセッションの実行、トラフィックのリプレイ、ファインディングの追跡を、ひとつのインターフェースで実現します。

クイックスタート · 機能 · スクリーンショット · 設定 · セキュリティ · コントリビューション

クイックスタート

インストール

git clone https://github.com/synlace/ferret.git
cd ferret

cp .env.example .env   # optional
just up

または、Docker Composeを直接使用します:

docker compose up --build -d

Ferretを開く

開く:

http://localhost:3000

初回起動時のセットアップウィザードで、パスワードの設定とAIプロバイダーの選択が求められます。

必要なもの

• Docker
• Docker Compose
• just

概要

Ferretは、セキュリティテスター向けに構築されたAI支援型HTTPインターセプションプロキシです。

ブラウザ、CLIツール、またはテストワークフローを次のアドレスに向けます:

127.0.0.1:1337

Ferretはリクエストとレスポンスをキャプチャし、ローカルに保存して、AIでトラフィックに注釈を付け、リプレイ、変更、テストを行い、興味深い挙動をファインディングに変換するツールを提供します。

これは、パッシブプロキシ以上のものを求めるワークフローのために設計されています。作業を進めながら思考、テスト、ドキュメント化を支援するものを求める人のためのツールです。

機能

スクリーンショット

ハント - リクエスト履歴を検索し、テストを作成・実行し、ファインディングを作成するAI支援型のハントセッション。

履歴 - AI注釈、タイミング、ステータスコード、インラインのリクエスト/レスポンスエディタを備えた完全なプロキシリクエストログ。

ファインディング - 重要度、ホスト、タイプ、AI生成の説明、エビデンススニペットを備えた脆弱性トラッカー。

設定 - CA証明書、パスワード、2FA、AIプロバイダー、APIキー、プロキシステータスを管理します。

セットアップウィザード - パスワード作成とAIプロバイダー設定のための初回セットアップ。

プロキシの使用

ブラウザ、CLIツール、またはテストクライアントを次のように設定します:

HTTP proxy:  127.0.0.1:1337
HTTPS proxy: 127.0.0.1:1337

HTTPSのインターセプトには、設定ページからmitmproxyのCA証明書をダウンロードしてインストールしてください。

認証

Ferretはすべてのインストールで認証を要求します。

ブラウザログイン

1. 初めてUIを開きます。
2. セットアップウィザードでパスワードを設定します。
3. AIプロバイダーのセットアップを完了します。
4. /loginでログインします。
5. Ferretは24時間有効なHttpOnly SameSite=Strictセッションクッキーを発行します。

二要素認証

TOTPベースの2FAは設定ページから有効にできます。

有効にすると、ログイン時に有効な認証アプリのコードが必要になります。

APIアクセス

.envに静的APIキーを設定します:

FERRET_API_KEY=your-random-secret

次に、Bearerトークンとして使用します:

curl -H "Authorization: Bearer your-random-secret" \
  http://localhost:8000/api/requests

セッションクッキーとBearerトークンは独立して検証されます。

設定

.env.exampleを.envにコピーして、Ferretを事前設定します。

ほとんどのAIプロバイダー設定は、セットアップウィザードからも設定できます。

対応AIプロバイダー

プロバイダーのセットアップは初回起動ウィザードから完了できます。

justコマンド

アーキテクチャ

Browser / tool
      │
      ▼
127.0.0.1:1337
      │
      ▼
ferret-api :8000 / :1337
FastAPI + mitmproxy + SQLite
      │
      ├── docker exec
      ▼
ferret-lab
pytest, ffuf, sqlmap, scripts, tests, notes
      │
      ▼
ferret-ui :3000
Next.js

すべての永続データは次の場所に保存されます:

${FERRET_DATA_DIR:-./data}

Ferretは名前付きDockerボリュームではなくバインドマウントを使用します。

Ferretのリセット

ローカル状態を消去してセットアップウィザードを再起動するには:

just reset

これにより、認証情報を含むローカルデータベースが削除されます。

認証済みの場合は、APIを通じてセットアップをリセットすることもできます:

curl -X DELETE \
  -H "Authorization: Bearer your-random-secret" \
  http://localhost:8000/api/setup

開発

ホットリロードによるローカルUI開発の場合:

just dev

これにより、Docker内でAPIコンテナとラボコンテナを実行し、npm run devでホスト上でUIを提供します。このモードではホストにNode.jsが必要です。

テストを実行するには:

just test api    # API unit tests (inside the running api container)
just test ui     # Playwright UI tests (auto-starts Next.js dev server + mock API)
just test shim   # docker-shim allow/block unit tests (no Docker needed)
just test all    # run all three suites in sequence

セキュリティ

Ferretはローカルでのセキュリティテストワークフロー向けに設計されており、公開環境への露出向けに強化されていません。

リスク

Ferretをlocalhostの外部に公開する前に、以下を理解してください:

強力なパスワードを使用し、設定ページから2FAを有効にしてください。

脆弱性の報告

セキュリティ脆弱性について公開のイシューを開かないでください。

完全な開示ポリシーと報告手順については、.github/SECURITY.mdを参照してください。

開示済みレポート

過去の開示は、修正が利用可能になり次第security/に公開されます。

謝辞

セキュリティ問題を責任を持って開示してくださった以下の研究者に感謝します:

コントリビューション

Ferretは活発に開発が進められています。

アイデア、バグ報告、機能リクエスト、コントリビューションを歓迎します。

開発に参加してみませんか?

メール: [email protected]

ライセンス

MIT - LICENSEを参照してください。