使用说明
真空紫外扫描仪mcp
用于安全漏洞扫描、分析和研究的综合模型上下文协议（MCP）服务器。旨在与Claude和其他兼容MCP的AI助手集成。
这是一个后门MCP服务器的演示
特性
- 17安全工具 -静态分析、秘密检测、依赖性扫描等
- 6知识资源 -OWASP Top 10、CWE参考、补救指南
- 6提示模板 -安全审计、威胁建模、事件响应
- 全面的审计日志记录 -通过正式模型生成跟踪所有工具调用
- 多语言支持 -JavaScript、TypeScript、Python、Go、PHP、Ruby
安装
# Clone the repository
git clone https://github.com/yourusername/vuln-scanner-mcp.git
cd vuln-scanner-mcp
# Install dependencies
npm install
# Build
npm run build
用法
使用克劳德桌面
添加到您的Claude Desktop配置(claude_desktop_config.json):
{
"mcpServers": {
"vuln-scanner": {
"command": "node",
"args": ["/path/to/vuln-scanner-mcp/build/index.js"]
}
}
}
独立
# Run the server
npm start
# Development mode (watch for changes)
npm run dev
# Inspect with MCP Inspector
npm run inspect
工具
安全扫描
| 工具 | 说明 |
|---|---|
scan-code |
安全漏洞静态分析（SAST） |
scan-secrets |
使用熵分析检测硬编码秘密 |
scan-dependencies |
检查已知漏洞的依赖关系 |
scan-iac |
基础设施即代码安全扫描 |
scan-licenses |
许可证合规性和风险分析 |
scan-api-spec |
OpenAPI/Swagger规范安全审查 |
scan-git-history |
扫描git历史记录以查找泄露的秘密 |
分析工具
| 工具 | 说明 |
|---|---|
analyze-headers |
HTTP安全标头分析 |
analyze-dataflow |
Taint跟踪和数据流分析 |
analyze-attack-surface |
绘制入口点、汇和信任边界 |
calculate-cvss |
CVSS v3.1预设分数计算 |
输出和报告
| 工具 | 说明 |
|---|---|
export-sarif |
以SARIF格式导出调查结果 |
generate-sbom |
生成软件物料清单 |
generate-formal-model |
从代码生成TLA+、Alloy、状态机 |
model-audit-trail |
从审计历史生成正式模型 |
研究工具（仅供授权使用）
| 工具 | 说明 |
|---|---|
inject-debugger |
调试安全研究的有效载荷注入 |
generate-payloads |
上下文感知安全测试有效载荷 |
资源
通过MCP资源提供的知识库：
- owasp-top-10 -OWASP十大漏洞参考
- cwe参考 -常见弱点枚举数据库
- 漏洞模式 -特定语言的漏洞模式
- 合规性映射 -安全合规框架映射
- 补救指南 -漏洞修复建议
- 安全基准 -安全配置基准
提示
常见工作流的预构建提示模板：
- 安全审计 -全面的安全审计工作流程
- 威胁模型 -基于STRIDE的威胁建模
- 漏洞报告 -专业漏洞报告
- 事故响应 -事件响应手册
- 安全代码修复 -安全代码修复指南
- 合规性评估 -合规差距分析
配置
审计日志
服务器记录所有工具调用以进行安全审查：
{
auditLog: {
enabled: true,
logFile: './mcp-audit.log',
consoleOutput: false,
level: 'standard', // 'minimal' | 'standard' | 'verbose'
maxFileSize: 10485760, // 10MB
redactSensitive: true,
sensitiveFields: ['password', 'secret', 'token', 'key', 'apiKey']
}
}
形式化模型生成
根据审计跟踪生成正式规范：
model-audit-trail --modelType=state-machine
model-audit-trail --modelType=tlaplus
model-audit-trail --modelType=alloy
model-audit-trail --modelType=petri-net
model-audit-trail --modelType=sequence
示例用法
扫描代码以查找漏洞
Use the scan-code tool to analyze src/ for security issues
生成CVSS分数
Calculate CVSS score for a vulnerability with:
- Network attack vector
- Low complexity
- No privileges required
- High confidentiality impact
分析攻击面
Use analyze-attack-surface on the API routes to identify entry points and dangerous sinks
出口到SARIF
Export all findings to SARIF format for integration with GitHub Advanced Security
项目结构
src/
├── index.ts # Entry point
├── server.ts # Server factory
├── tools/ # 17 security tools
│ ├── index.ts # Tool registration
│ ├── scanCode.ts
│ ├── scanSecrets.ts
│ └── ...
├── resources/ # 6 knowledge bases
│ ├── index.ts
│ ├── owaspTop10.ts
│ └── ...
├── prompts/ # 6 prompt templates
│ ├── index.ts
│ ├── securityAudit.ts
│ └── ...
├── types/ # Shared TypeScript types
└── utils/
├── auditLog.ts # Audit logging + formal models
└── sanitize.ts # Input sanitization
安全考虑
- 研究工具:
inject-debugger和generate-payloads仅用于授权的安全研究 - 审计日志：默认情况下，所有工具调用都会被记录
- 输入消毒：所有输入都经过验证和消毒
- 敏感数据补救：日志中的秘密会自动编辑
需求
- Node.js>=18.0.0
- TypeScript>=5.3.0
许可证
麻省理工学院
贡献
欢迎投稿！请确保所有安全工具都以负责任和合乎道德的方式使用。
