Burpsuite MCP Server

🚀 Burpsuite MCP サーバー

モデルコンテキストプロトコル（MCP）サーバーで、Burpsuite Professionalのスキャンとプロキシ機能とのインターフェースを提供します。

🚀 クイックスタート

このMCPサーバーは、AIアシスタントがWebセキュリティテストや脆弱性スキャンのためにBurpsuite Professionalと相互作用できるようにします。以下の機能を提供します。

• 対象URLの脆弱性スキャンを開始する
• スキャンの状態を確認し、結果を取得する
• BurpプロキシでキャプチャされたHTTP/HTTPSトラフィックにアクセスする
• スキャン中に発見されたウェブサイトの構造を表示する

✨ 主な機能

ツール

このサーバーは以下のツールを公開しています。

1. start_scan：対象URLの新しい脆弱性スキャンを開始します。
   • パラメータ：
     • target：スキャン対象のURL（例：https://example.com）
     • scan_type：実行するスキャンのタイプ（パッシブ、アクティブ、または完全）
2. get_scan_status：実行中のスキャンの状態を確認します。
   • パラメータ：
     • scan_id：確認するスキャンのID
3. get_scan_issues：スキャンで発見された脆弱性の問題を取得します。
   • パラメータ：
     • scan_id：スキャンのID
     • severity：問題を深刻度でフィルタリングする（高、中、低、情報、またはすべて）
4. get_proxy_history：BurpプロキシでキャプチャされたHTTP/HTTPSトラフィックを取得します。
   • パラメータ：
     • host：ホストでフィルタリングする（オプション）
     • method：HTTPメソッドでフィルタリングする（オプション）
     • status_code：HTTPステータスコードでフィルタリングする（オプション）
     • limit：返す最大項目数（デフォルト：10）
5. get_site_map：スキャンと閲覧中に発見されたウェブサイトの構造を取得します。
   • パラメータ：
     • host：ホストでフィルタリングする（オプション）
     • with_parameters：パラメータ付きのURLのみを表示する（オプション）
     • limit：返す最大項目数（デフォルト：20）

リソース

このサーバーは以下のリソースを提供します。

1. スキャン結果：burpsuite://scan/{scanId}
2. 問題の詳細情報：burpsuite://scan/{scanId}/issue/{issueId}
3. プロキシ履歴：burpsuite://proxy/history
4. プロキシ履歴項目：burpsuite://proxy/history/{itemId}
5. サイトマップ：burpsuite://sitemap

📦 インストール

1. サーバーをビルドします。

cd /path/to/burpsuite-server
npm install
npm run build

2. サーバーをあなたのMCP設定構成ファイルに追加します。

{
    "mcpServers": {
        "burpsuite": {
            "command": "node",
            "args": ["/path/to/burpsuite-server/build/index.js"],
            "env": {},
            "disabled": false,
            "autoApprove": []
        }
    }
}

💻 使用例

基本的な使用法

以下は、AIアシスタントを通じてサーバーとやり取りする例です。

# スキャンを開始する
/start_scan --target https://example.com --scan_type full

# スキャンの状態を確認する
/get_scan_status --scan_id 12345

# スキャン結果を取得する
/get_scan_issues --scan_id 12345 --severity high

# プロキシ履歴を取得する
/get_proxy_history --limit 10

# サイトマップを取得する
/get_site_map --host example.com

これらのやり取りを通じて、効果的にセキュリティテストを実行し、必要な情報を取得することができます。