Owasp Zap MCP Server Demo

🚀 OWASP MCP サーバー

OWASP ZAP セキュリティスキャン用のWebSocketベースのタスク制御プロトコル（MCP）サーバーです。セキュリティ評価のリアルタイム制御と監視をサポートします。

🚀 クイックスタート

前提条件

• Python 3.8+
• OWASP ZAP 2.12.0+
• Java 実行環境（JRE）8+
• Sudoまたは管理者権限（ZAP が必要とする）

なぜ MCP サーバーを選ぶのか？

セットアップ手順

1. OWASP ZAP のインストール： ダウンロード先：https://www.zaproxy.org/download/

2. プロジェクトのセットアップ：

   git clone https://github.com/shadsidd/Owasp-Zap-MCP-Server-Demo.git
   cd Owasp-Zap-MCP-Server-Demo
   python3 -m venv venv
   source venv/bin/activate  # Windows では `venv\Scripts\activate` を使用
   pip install -r requirements.txt
   

3. MCP サーバーの起動：

   python mcp_server.py
   

4. ZAP の起動： ターミナルを開き、以下のコマンドを実行して ZAP のプロキシを開始します。

   zap-baseline.py -t http://目標URL:ポート
   

5. コマンドラインツールの使用： 例えば、スパイダースキャンを実行するには：

   python mcp_client.py --scan-type spider --target http://目標URL:ポート
   

✨ 主な機能

コアコンポーネント

• mcp_server.py - 中心的な役割を果たすコンポーネントです。最初に起動し、OWASP ZAP に接続するコアスキャンエンジンです。
• mcp_client.py - 強力な SDK で、他のコンポーネントがサーバーと通信するために使用します（このファイルを直接使用することはありません）。
• mcp_cli.py - 便利で強力なコマンドラインツールです。
• test_client.py - 学習とテストに最適なツールです。

サポートするスキャンタイプ

• スパイダースキャン（デフォルト）：ウェブサイトの内容をクロールします。最も高速ですが、発見できる脆弱性は少なくなります。
• アクティブスキャン：実際の攻撃テストを実行し、より多くの脆弱性を発見します。
• 全面スキャン：スパイダースキャンとアクティブスキャンを組み合わせ、最も包括的な結果を提供します。

📦 インストール

前提条件

• Python 3.8+
• OWASP ZAP 2.12.0+
• Java 実行環境（JRE）8+
• Sudoまたは管理者権限（ZAP が必要とする）

手順

1. OWASP ZAP のインストール： ダウンロード先：https://www.zaproxy.org/download/

2. プロジェクトのセットアップ：

   git clone https://github.com/shadsidd/Owasp-Zap-MCP-Server-Demo.git
   cd Owasp-Zap-MCP-Server-Demo
   python3 -m venv venv
   source venv/bin/activate  # Windows では `venv\Scripts\activate` を使用
   pip install -r requirements.txt
   

💻 使用例

基本的な使用法

# スパイダースキャンの実行
python mcp_client.py --scan-type spider --target http://目標URL:ポート

高度な使用法

# アクティブスキャンの実行
python mcp_client.py --scan-type active --target http://目標URL:ポート

📚 ドキュメント

サンプルファイル

プロジェクトには以下のサンプルファイルが含まれています。

• mcp_server.py - MCP サーバーの核心的な実装です。
• mcp_client.py - スキャンを制御するためのコマンドラインインターフェイスを提供します。
• test_client.py - 接続性と基本機能をテストするためのファイルです。

注意事項

⚠️ 重要提示

• ポートの競合：目標 URL のポートが他のアプリケーションによって使用されていないことを確認してください。
• 権限の問題：一部のシステムでは、sudo を使用して権限を昇格させる必要がある場合があります。
• ログ記録：サーバーとクライアントは、デバッグを支援するためにログを出力します。