Moxy

Moxy (Proxy Man-in-the-Middle de Nova Geração) Ferramenta DAST de código aberto para testes de penetração alimentada por capacidades de IA agentica (Suportando Ollama). Construída sobre o browser-use, Moxy simplifica os testes de segurança dinâmica de aplicações.

🚀 INCRIVELMENTE FÁCIL DE USAR

E é gratuito, quem não gosta de coisas grátis?

Alerta de Pré-visualização:
🚧 Moxy está em desenvolvimento ativo e atualmente em pré-visualização/beta.
Espere mudanças que quebram compatibilidade, instabilidade e funcionalidades faltantes.
Use por sua conta e risco e acompanhe as atualizações do projeto para as últimas melhorias!

Início Rápido

Para executar isso por enquanto, você precisa executar o frontend e backend separadamente.

Pré-requisitos

Antes de executar Moxy, você precisa instalar o uv (astral-uv), um instalador e resolvedor de pacotes Python rápido.

Instalar uv:

• Siga o guia de instalação oficial para instalar o uv no seu sistema.

Nota:
uv é necessário para gerenciar dependências Python no backend. Se você não o tiver instalado, os comandos do backend falharão.

Executando o Backend

1. Navegue até o diretório backend:

   root@kitploit:~

   cd backend
   

2. Instale as dependências e execute o servidor backend:

   root@kitploit:~

   uv sync
   uv run moxy
   

Executando o Frontend

1. Navegue até o diretório frontend:

   root@kitploit:~

   cd frontend
   

2. Instale as dependências:

   root@kitploit:~

   npm install
   

3. Inicie o servidor de desenvolvimento frontend:

   root@kitploit:~

   npm run moxy
   

Nota:
Por padrão, o frontend executa em http://localhost:8080
e o backend executa em http://localhost:5000

Implantação com Docker

Moxy pode ser executado usando Docker para implantação mais fácil e ambientes consistentes. Desta forma, você pode colaborar e instalar facilmente.

Início Rápido com Docker

Opção 1: Usando Imagem Pré-construída (Recomendado)

projects_data contém todos os bancos de dados e logs necessários. É a pasta de dados.

Puxe e execute a imagem pré-construída do GitHub Container Registry:

docker run -d \
  --name moxy \
  -p 5000:5000 \
  -p 8081:8081 \
  -v $(pwd)/projects_data:/app/projects_data \
  ghcr.io/matank001/moxy:latest

Opção 2: Construir a partir do Código Fonte

1. Construa e inicie o contêiner:

   root@kitploit:~

   docker-compose up -d --build
   

2. Acesse a aplicação:

   • Frontend: http://localhost:5000
   • Proxy: http://localhost:8081

3. Configure seu navegador para usar o proxy:

   Quando executando no Docker, você precisa configurar manualmente seu navegador para usar o proxy:

   • Host do Proxy: localhost (ou 127.0.0.1)
   • Porta do Proxy: 8081
   • Protocolo: HTTP

   Nota:
   O proxy executa dentro do contêiner Docker, mas está acessível em localhost:8081 na sua máquina host.
   Você pode configurar as configurações de proxy nas configurações de rede do seu navegador ou usar extensões de navegador para gerenciamento de proxy.

4. Visualize logs:

   root@kitploit:~

   docker-compose logs -f
   

5. Pare o contêiner:

   root@kitploit:~

   docker-compose down
   

Variáveis de Ambiente

Crie um arquivo .env na raiz do projeto para configurar a aplicação (você precisa colocá-lo dentro do diretório backend/):

Nota:
O arquivo .env é opcional. O Docker Compose o carrega automaticamente se presente (nenhum aviso se ausente).
Todos os dados do projeto são persistidos no diretório projects_data, que é montado como um volume.

Ferramenta Agentica

Por padrão, o Moxy funciona sem exigir qualquer configuração ou credenciais de IA - até mesmo fluxos DAST baseados em navegador não usam IA a menos que ativado.

Ativando IA Agentica

Moxy suporta tanto API do OpenAI quanto Ollama (IA local) para funcionalidades agenticas. Para habilitar capacidades alimentadas por IA:

Para desenvolvimento local: Crie um arquivo .env no diretório backend com a configuração apropriada.

Para Docker: Crie um arquivo .env na raiz do projeto (mesmo diretório que docker-compose.yml).

Opção 1: Usando API do OpenAI

Para processamento de IA baseado em nuvem com OpenAI, configure seu arquivo .env da seguinte forma:

OPENAI_API_KEY=sk-proj-...             # Sua chave de API OpenAI
MODEL=gpt-4o-mini                       # Opcional: padrão é gpt-4o-mini se não especificado

Opção 2: Usando Ollama (IA Local)

Para processamento de IA local com Ollama, configure seu arquivo .env da seguinte forma:

USE_OLLAMA=true
OPENAI_API_KEY=test                    # Obrigatório, mas o valor é ignorado ao usar Ollama
OPENAI_BASE_URL=http://localhost:11434/v1/  # Endpoint da API Ollama
MODEL=qwen3:8b                         # Seu modelo Ollama preferido

Capacidades do Agente:

• Consultar requisições HTTP capturadas anteriormente
• Enviar/modificar/reenviar novas requisições
• Operar um navegador real (usando browser-use) para testes dinâmicos e criação de requisições

O agente usa IA para raciocinar sobre a superfície de ataque da sua aplicação, reproduzir ou modificar tráfego, e até mesmo conduzir sessões de navegador para gerar novos cenários de teste.

Aviso:
Os modos de IA agentica são atualmente experimentais e podem ser instáveis.

Proxy

Moxy aproveita o MITMproxy como um proxy de interceptação HTTP/HTTPS para capturar e modificar tráfego durante testes de segurança dinâmica de aplicações.

Por padrão, o proxy executa na porta 8081. Você pode configurar seu navegador ou sistema para usar http://localhost:8081 como proxy para rotear tráfego através do MITMproxy e permitir que o Moxy analise e interaja com as requisições em tempo real.

Como Configurar Moxy no Firefox

Para analisar tráfego HTTP e HTTPS do Firefox através do Moxy, você precisa configurar o Firefox para usar o proxy do Moxy e importar o certificado do proxy para que o tráfego do navegador (incluindo HTTPS) possa ser interceptado adequadamente.

Passo 1: Inicie o Moxy e o Proxy

Certifique-se de que o Moxy (e seu processo MITMproxy) está em execução.

Passo 2: Configure o Firefox para Usar o Proxy

1. Abra o Firefox.
2. Vá para Configurações (ou Preferências em alguns sistemas).
3. Role para baixo até a seção Configurações de Rede (no final).
4. Clique em Configurações… ao lado de "Configurações de Rede".
5. Escolha Configuração manual de proxy.
6. Defina Proxy HTTP para localhost e Porta para 8081.
   • Marque Usar também este proxy para HTTPS ou defina Proxy SSL para localhost:8081 também.
7. Clique em OK para salvar.

Agora, todo o tráfego do navegador será roteado através do proxy do Moxy em http://localhost:8081.

Passo 3: Importe o Certificado do Proxy

1. No Firefox (com o proxy ainda ativado), navegue até http://mitm.it.
2. A página exibirá links de download para vários certificados. Clique no link para Firefox (ou 'Outro' se não estiver listado) para baixar o certificado (ex.: mitmproxy-ca-cert.pem).
3. Vá para Configurações → Privacidade e Segurança no Firefox.
4. Role até a seção Certificados e clique em Visualizar Certificados…
5. No Gerenciador de Certificados, vá para a aba Autoridades.
6. Clique em Importar… e selecione o arquivo de certificado que você baixou.
7. Quando solicitado, marque ambas as caixas:
   • Confiar nesta CA para identificar sites
   • (Opcional) Confiar nesta CA para identificar usuários de e-mail
8. Clique em OK para confirmar.
9. Reinicie o Firefox se solicitado ou se sites HTTPS ainda falharem ao carregar sem avisos.

Após concluir estas etapas, o Firefox confiará nas conexões HTTPS interceptadas pelo proxy do Moxy.
Agora você está pronto para analisar e testar dinamicamente aplicações web via HTTP e HTTPS sem avisos de certificado.

Para mais detalhes, consulte a documentação de certificados do MITMproxy.

Estrutura do Banco de Dados

• moxy.db - Banco de dados principal que armazena metadados do projeto
• projects_data/{project_name}.db - Bancos de dados de projetos individuais (nomeados após o projeto, sanitizados)
  • Cada projeto recebe seu próprio arquivo de banco de dados SQLite
  • Quando um projeto é renomeado, seu arquivo de banco de dados é renomeado automaticamente
  • Quando um projeto é excluído, seu arquivo de banco de dados é removido

Aviso:
Nesta fase, não há garantia de migração de banco de dados ou compatibilidade reversa entre versões—versões futuras podem quebrar a compatibilidade com arquivos de banco de dados antigos. Use com cautela se planeja atualizar.

Aviso de Uso Ético

Moxy é projetado estritamente para fins de testes de segurança ética e pesquisa. Ele destina-se a ajudar profissionais de segurança, desenvolvedores e organizações a identificar e corrigir vulnerabilidades em aplicações que possuem ou têm permissão explícita para testar.