gurudeepmallam-cmd/mcppt

# MCPTROTTER — MCP 安全框架

作者：Gurudeep Mallam  ·  LinkedIn

## 简介 MCPTROTTER 是一个用于测试 MCP (Model Context Protocol) 服务器的**安全框架**。它有两种工作方式： **手动探索** — 连接到任何 MCP server 并像攻击者一样与它交互。直接调用 tools，检查 schema，模糊测试参数，读取 resources，发送原始 JSON-RPC 方法。无需扫描。你控制每一个请求。 **自动扫描** — 在 60 秒内运行 31 项安全检查。包括认证绕过、存储型注入、重放攻击、session 熵、租户隔离、tool 投毒、命令注入等。 两种模式都通过 Burp Suite 路由，因此你可以在 HTTP History 中查看每个请求，并在 Repeater 中进行后续操作。 ## 安装说明 **从 PyPI 安装（推荐）：** ``` pip install mcppt ``` **从源码安装：** ``` git clone https://github.com/gurudeepmallam-cmd/mcppt cd mcppt/mcppt_tool pip install -e . ``` 要求 Python 3.10+。 ## 快速入门 — 立即尝试（无需目标） MCPTROTTER 内置了一个故意设计为易受攻击的演示服务器，它会触发所有的检查。 **终端 1 — 启动演示服务器：** ``` cd mcppt_tool python test_server.py ``` ``` ======================================================= Vulnerable MCP Test Server URL: http://127.0.0.1:8888/mcp Token: valid-token-abc123 ======================================================= ``` **终端 2 — 打开交互式 shell：** ``` mcppt ``` ``` __ __ ___ ___ _____ ____ ___ _____ _____ ___ ___ | \/ | / __|| _ \|_ _| _ \ / _ \_ _|_ _| __| _ \ | |\/| || (__| _/ | | | / | (_) || | | | | _|| / |_| |_| \___||_| |_| |_|_\ \___/ |_| |_| |___|_|_\ MCP Pentest Framework v3.0 -- 31 checks + manual exploration by Gurudeep Mallam Quick start: target → connect → list → scan Manual test: call | raw | fuzz ``` **逐条粘贴以下命令：** ``` target http://127.0.0.1:8888/mcp token valid-token-abc123 connect list scan findings report demo.md ``` ## 预期输出 — 演示服务器扫描 设置了 token 后运行 `scan` 会产生以下结果（60秒内）： ``` Duration: ~45s Findings: 6 CRITICAL 6 HIGH 13 MEDIUM 3 LOW ``` | 严重程度 | 检查项 | 发现 | |---|---|---| | CRITICAL | `auth` | `get_notes` 上的认证绕过 — 无需 token | | CRITICAL | `auth` | `get_notes` 上的认证绕过 — 接受无效 token | | CRITICAL | `publish` | `publish_report` 可在没有确认机制的情况下调用 | | CRITICAL | `stored` | 确认存储型注入：`save_note` → `get_notes` 未转义 | | CRITICAL | `replay` | 确认在 WRITE tool `publish_report` 上的重放攻击 | | CRITICAL | `poison_all` | 注入标记反映在 `result.content[0].text` 中 | | HIGH | `injection` | Prompt 注入反映在 `publish_report.title` 中 | | HIGH | `replay` | 确认在 `get_notes` 上的重放攻击 | | HIGH | `session` | 短 session ID（3 个字符）：`108` | | HIGH | `session` | 非 UUID/非十六进制的 session 格式：`108` | | HIGH | `session` | 近似顺序的 ID（diffs=[1,7,1,1]）— 低熵 | | MEDIUM | `enum` | 在没有 Authorization header 的情况下可访问 `tools/list` | | MEDIUM | `schema` | 多个字段接受错误类型（string/int/null 绕过） | | MEDIUM | `context_overflow` | 接受 10,000 字符的 payload 且未截断 | | LOW | `rate` | 无速率限制 — 在 1.5 秒内完成 30/30 个请求 | | LOW | `headers` | 缺失：X-Content-Type-Options, CSP, X-Frame-Options | | LOW | `headers` | Server header 泄露：`Werkzeug/3.1.8 Python/3.13.5` | ## 所有命令 ### 设置 ``` target Set MCP server URL token Set primary auth token token2 Set second user token (IDOR / scope / tenant checks) noverify Toggle SSL verification skip (needed for self-signed certs) proxy Set Burp proxy: proxy http://127.0.0.1:8080 verbose Toggle raw HTTP request/response logging status Show current session configuration ``` ### 手动探索 ``` connect Test connection + show server name, version, capabilities list List all tools the server exposes (names, schemas, params) inspect Show full JSON schema for a specific tool call [json] Call any tool directly with your own arguments call get_notes call get_user {"id": 1} call save_note {"text": "test injection payload"} raw [params] Send any raw JSON-RPC method raw tools/list raw resources/list raw sampling/createMessage {...} resources [read ] List resources or read a specific URI prompts [get ] List prompts or get a specific prompt headers Show HTTP response headers from the last request ``` ### 针对性测试 ``` fuzz Fuzz a specific tool parameter Built-in wordlists: sqli SQL injection payloads xss XSS and template injection traversal Path traversal (../etc/passwd, encoded variants) cmd OS command injection (; id, $(id), | whoami) ssrf SSRF targets (169.254.169.254, localhost) ssti Server-side template injection inject Prompt injection payloads for LLM tools Custom: fuzz read_file path /path/to/payloads.txt Examples: fuzz get_user id sqli fuzz save_note text inject fuzz read_file path traversal ``` ### 自动扫描 ``` scan Run all 31 checks scan auth ssrf idor Run specific checks only scan stored injection Mix and match any check names ``` ### 发现结果 ``` note