AI导哈

安全审计工具

MCPAudit是一款针对MCP（Model Context Protocol）服务器包的安全审计工具，通过AST分析检测常见漏洞如Shell注入、SSRF、硬编码密钥等。

  • by maninthebox235
  • JavaScript
  • 本地部署
  • 更新于
在 GitHub 查看 maninthebox235/mcpaudit

使用说明

🔒 MCP审计

MCP（模型上下文协议）服务器包的安全审计工具。

MCPAudit使用AST分析扫描MCP服务器源代码中的常见漏洞，包括shell注入、SSRF、硬编码秘密、SQL注入、路径遍历、不安全评估等。

安装

npm install -g mcpaudit

用法

扫描包裹

mcpaudit scan ./my-mcp-server
mcpaudit scan ./my-mcp-server --format json
mcpaudit scan ./my-mcp-server --format html -o report.html
mcpaudit scan ./server.js --severity high
mcpaudit scan ./my-mcp-server --ignore ENV_LEAK,EXCESSIVE_PERMISSIONS

生成报告

mcpaudit report ./my-mcp-server -o audit.html

查询信任注册表

mcpaudit registry lookup --package @example/mcp-server

它检查什么

规则 严重性 描述
SHELL_INJECTION 关键 exec()/spawn() 带有动态参数
UNSAFE_EVAL 关键 eval(), new Function(), vm.runInNewContext()
HARDCODED_SECRETS 关键 API密钥、令牌、源代码中的密码
SQL_INJECTION SQL查询中的字符串插值
SSRF 高 用户控制URL的HTTP请求
FS_OVERREACH 高 敏感/动态路径上的文件系统操作
ENV_LEAK 高 process.env 在回应中暴露
PROTOTYPE_POLLUTION 高 不安全的深度合并/计算属性分配
PATH_TRAVERSAL 高 未知路径建设
EXCESSIVE_PERMISSIONS 中等 通配符权限，高权限工具名称
MISSING_VALIDATION 中等 未经验证的水槽中使用的参数
UNVALIDATED_REDIRECT Medium 使用动态URL重定向

输出格式

  • 桌子 （默认）--彩色CLI表
  • JSON --带摘要的结构化JSON
  • 超文本标记语言 --深色主题HTML报告

退出代码

  • 0 --无高/关键发现
  • 1 --严重程度高的发现
  • 2 --严重性调查结果

许可证

麻省理工学院

相关 MCP