Zap MCP Sqlmap Setup

🚀 使用 OWASP ZAP 作為 MCP（中間人代理服務器）與 SQLMap 集成的設置指南

本倉庫提供了使用 OWASP ZAP 作為 MCP 服務器並與 SQLMap 集成的設置說明及配置文件，主要用於合法的安全測試和漏洞評估工作。

🚀 快速開始

先決條件

• 系統已安裝 Docker。
• 具備基本的網絡安全測試知識。
• 擁有系統管理員或 root 訪問權限。

快速設置

1. 克隆倉庫

git clone https://github.com/UnknownAirtist/zap-mcp-sqlmap-setup.git
cd zap-mcp-sqlmap-setup

2. 運行設置腳本

chmod +x setup.sh
./setup.sh

3. 啟動 ZAP MCP 服務器

docker-compose up -d

此操作將啟動在端口 8080 運行的 ZAP 服務器以及在端口 8090 運行的 API。

手動設置

1. 安裝 OWASP ZAP

您可以使用 Docker（推薦方式）安裝 ZAP：

docker pull owasp/zap2docker-stable

也可以直接從 官方網站 下載。

2. 安裝 SQLMap

通過倉庫安裝 SQLMap：

git clone --depth 1 https://github.com/sqlmapproject/sqlmap.git

3. 配置 ZAP 作為 MCP 服務器

以守護模式運行 ZAP：

docker run -u zap -p 8080:8080 -p 8090:8090 -i owasp/zap2docker-stable zap.sh -daemon -host 0.0.0.0 -port 8080 -config api.disablekey=true

4. 將 SQLMap 與 ZAP 集成

使用 SQLMap 時，將 ZAP 作為代理服務器：

python sqlmap.py -u "http://target-website.com" --proxy=http://localhost:8080

✨ 主要特性

高級配置

自定義 ZAP 規則

zap-rules 目錄存有用於增強 SQL 注入漏洞檢測能力的自定義 ZAP 規則：

• 把 .js 文件複製到 ZAP 腳本目錄。
• 在 ZAP UI 的工具 > 腳本中啟用這些規則。

SQLMap 集成腳本

sqlmap-scripts 目錄包含用於實現更緊密集成的輔助腳本：

• zap-sqlmap-bridge.py：將 ZAP 的發現結果轉發給 SQLMap 進行深入測試。
• auto-scan.py：對目標網站上的所有表單進行自動化掃描。

💻 使用示例

基礎用法

./scripts/start-scan.sh http://example.com

高級用法

./scripts/full-scan.sh http://vulnerable-website.com

持續集成設置

可查看 ci-example 目錄中的 GitHub Actions 和 Jenkins 配置示例。

📚 詳細文檔

安全注意事項

⚠️ 重要提示

僅可在您擁有或獲得明確許可的系統上使用這些工具。未經授權的安全測試在大多數司法管轄區屬於非法行為。

故障排除

• 若遇到 ZAP 相關問題，可檢查 logs/zap.log。
• 若遇到 SQLMap 相關問題，可檢查 logs/sqlmap.log。
• 若服務器無響應，請確保端口 8080 和 8090 未被其他應用程序佔用。

📄 許可證

本項目依據 MIT 許可證發佈，具體信息請查看 LICENSE 文件。