Owasp Zap MCP Server Demo

WebSocketベースのOWASP ZAPセキュリティスキャン制御プロトコルサーバーで、セキュリティ評価のリアルタイム制御と監視を実現します。

セキュリティ開発者ツール #セキュリティスキャン #リアルタイム監視 #自動化 #複数ドメイン検出 .Python

スコア : 2.5ポイント

ダウンロード数 : 9.6K

更新時間 : 2025-04-29

サイトを開く

OWASP MCPサーバーとは？

OWASP MCPサーバーは強力なツールで、WebSocketプロトコルを通じてOWASP ZAPに接続し、ウェブサイトのセキュリティスキャンとリアルタイム監視を実現します。ユーザーは簡単なコマンドまたはインターフェース操作でスキャンを開始し、進捗状況を確認し、結果を取得できます。

OWASP MCPサーバーの使い方は？

セキュリティスキャンを開始するには、OWASP ZAPをインストールし、MCPサーバーを起動し、コマンドラインツールを使用してスキャンタスクを実行するだけです。

適用シナリオ

自動化、リアルタイム監視、大規模なセキュリティテストが必要な企業や個人ユーザーに適しています。日常のセキュリティチェックやCI/CDパイプラインへの統合においても、MCPサーバーは要件を満たすことができます。

主要機能

リアルタイム制御

WebSocketを通じてスキャンの進捗状況と状態をリアルタイムで監視することをサポートします。

複数ドメインの並列スキャン

複数のドメインを同時にスキャンし、効率を向上させることができます。

複数のスキャンモード

スパイダースキャン、アクティブスキャン、全面スキャンなどの複数のモードを提供し、さまざまなニーズに対応します。

CI/CD統合

CI/CDパイプラインへの統合を組み込みでサポートし、自動化デプロイを容易にします。

利点

リアルタイム更新で、手動でページを更新する必要がありません。

強力な自動化機能で、大規模なアプリケーションに適しています。

複数の出力形式（HTML、JSONなど）をサポートします。

既存の開発フローに容易に統合できます。

制限

OWASP ZAPを実行するには高いコンピューター性能が必要です。

初回設定には一定の技術的背景が必要な場合があります。

一部の高度な機能には追加の設定が必要な場合があります。

使い方

OWASP ZAPをインストールする

最新バージョンのOWASP ZAPをダウンロードしてインストールします。

OWASP ZAPを起動する

OWASP ZAPが実行中で、指定されたポートを監視していることを確認します。

MCPサーバーを起動する

MCPサーバーを実行してスキャン要求を受け取ります。

スキャンを実行する

コマンドラインツールを使用して具体的なスキャンタスクを実行します。

使用例

基本的なスキャン例

基本的なスパイダースキャンの実行方法を示します。

認証付きスキャン例

ログインが必要なコンテンツの処理方法を示します。

よくある質問

なぜOWASP ZAPを起動するにはsudo権限が必要なのですか？

ポート競合が発生した場合はどうすればいいですか？

🚀 OWASP MCP サーバー

OWASP ZAP セキュリティスキャン用のWebSocketベースのタスク制御プロトコル（MCP）サーバーです。セキュリティ評価のリアルタイム制御と監視をサポートします。

🚀 クイックスタート

前提条件

Python 3.8+
OWASP ZAP 2.12.0+
Java 実行環境（JRE）8+
Sudoまたは管理者権限（ZAP が必要とする）

なぜ MCP サーバーを選ぶのか？

特性	MCP サーバー	ZAP UI	ZAP API
自動化	✅ 完全サポート	❌ 有限	✅ 基本
リアルタイム更新	✅ WebSocket	✅ 可視化	❌ プル方式
CI/CD 統合	✅ ネイティブサポート	❌ 手動	✅ 複雑
バッチ処理	✅ サポート	❌ 非サポート	✅ 有限
学習曲線	🟡 中程度	🟢 簡単	🔴 困難
進捗追跡	✅ リアルタイム	✅ 可視化	❌ 手動
複数ドメイン	✅ 並行サポート	❌ 直列	🟡 有限
エラー処理	✅ 堅牢	✅ 基本	❌ 手動

セットアップ手順

OWASP ZAP のインストール：ダウンロード先：https://www.zaproxy.org/download/

プロジェクトのセットアップ：

git clone https://github.com/shadsidd/Owasp-Zap-MCP-Server-Demo.git
cd Owasp-Zap-MCP-Server-Demo
python3 -m venv venv
source venv/bin/activate  # Windows では `venv\Scripts\activate` を使用
pip install -r requirements.txt

MCP サーバーの起動：
```
python mcp_server.py
```
ZAP の起動：ターミナルを開き、以下のコマンドを実行して ZAP のプロキシを開始します。
```
zap-baseline.py -t http://目標URL:ポート
```
コマンドラインツールの使用：例えば、スパイダースキャンを実行するには：
```
python mcp_client.py --scan-type spider --target http://目標URL:ポート
```

✨ 主な機能

コアコンポーネント

mcp_server.py - 中心的な役割を果たすコンポーネントです。最初に起動し、OWASP ZAP に接続するコアスキャンエンジンです。
mcp_client.py - 強力な SDK で、他のコンポーネントがサーバーと通信するために使用します（このファイルを直接使用することはありません）。
mcp_cli.py - 便利で強力なコマンドラインツールです。
test_client.py - 学習とテストに最適なツールです。

サポートするスキャンタイプ

スパイダースキャン（デフォルト）：ウェブサイトの内容をクロールします。最も高速ですが、発見できる脆弱性は少なくなります。
アクティブスキャン：実際の攻撃テストを実行し、より多くの脆弱性を発見します。
全面スキャン：スパイダースキャンとアクティブスキャンを組み合わせ、最も包括的な結果を提供します。

📦 インストール

前提条件

Python 3.8+
OWASP ZAP 2.12.0+
Java 実行環境（JRE）8+
Sudoまたは管理者権限（ZAP が必要とする）

手順

OWASP ZAP のインストール：ダウンロード先：https://www.zaproxy.org/download/

プロジェクトのセットアップ：

git clone https://github.com/shadsidd/Owasp-Zap-MCP-Server-Demo.git
cd Owasp-Zap-MCP-Server-Demo
python3 -m venv venv
source venv/bin/activate  # Windows では `venv\Scripts\activate` を使用
pip install -r requirements.txt

💻 使用例

基本的な使用法

# スパイダースキャンの実行
python mcp_client.py --scan-type spider --target http://目標URL:ポート

高度な使用法

# アクティブスキャンの実行
python mcp_client.py --scan-type active --target http://目標URL:ポート

📚 ドキュメント

サンプルファイル

プロジェクトには以下のサンプルファイルが含まれています。

mcp_server.py - MCP サーバーの核心的な実装です。
mcp_client.py - スキャンを制御するためのコマンドラインインターフェイスを提供します。
test_client.py - 接続性と基本機能をテストするためのファイルです。

注意事項

⚠️ 重要提示

ポートの競合：目標 URL のポートが他のアプリケーションによって使用されていないことを確認してください。

権限の問題：一部のシステムでは、sudo を使用して権限を昇格させる必要がある場合があります。

ログ記録：サーバーとクライアントは、デバッグを支援するためにログを出力します。