让AI秒变安全大师！这款开源MCP工具网关颠覆自动化渗透测试
棉花糖糖糖
棉花糖糖糖
棉花糖网络安全工具箱
2026年10月19日 11:10
四川
去阅读
重点导读免责声明
使用本项目请遵守适用法律法规，禁止用于未授权渗透测试。
重点导读概述
HBC\_SEC\_MCP 是好靶场团队开源的安全工具网关项目。该框架将传统命令行安全工具包装为符合 MCP（Model Context Protocol）JSON-RPC 2.0 协议的现代化服务，使 AI 客户端能够以标准化方式发现并调用安全测试能力。
重点导读技术架构
PART 01核心组件
| 组件 | 职责 |
|---|---|
| Flask | HTTP API 服务层 |
| MCP Protocol | JSON-RPC 2.0 协议实现 |
| Tool Dispatcher | 工具自动发现与动态调度 |
| Command Executor | 命令执行封装 |
PART 02项目结构
HBC_SEC_MCP/
├── server.py # Flask 服务主入口
├── app/
│ ├── config.py # 配置常量
│ ├── mcp_protocol.py # MCP 协议实现
│ ├── tool_dispatcher.py # 工具调度器
│ ├── command_executor.py # 命令执行封装
│ └── tools/
│ ├── base_tool.py # 工具基类
│ ├── sqlmap_tool.py # SQLMap 集成
│ └── command_exec_tool.py # 命令执行工具
PART 03工具基类设计
pythonclass BaseTool(ABC):
name: str = \"\"
description: str = \"\"
input_schema: Dict[str, Any] = {}
@abstractmethod
def run(self, params: Dict[str, Any]) -> Dict[str, Any]:
pass
继承 BaseTool 的工具类通过 tool_dispatcher 自动发现注册。
重点导读功能特性
PART 04已集成工具
| 工具 | 功能 | 协议支持 |
|---|---|---|
| sqlmap\_scan | SQL 注入自动检测 | MCP / HTTP API |
| execute\_command | 通用命令执行 | MCP / HTTP API |
PART 05API 端点
| 端点 | 方法 | 用途 |
|---|---|---|
/ |
GET/POST | MCP 入口 / 服务信息 |
/api/tools/sqlmap |
POST | SQLMap 直连调用 |
/mcp/tools/HBC-Sec_mcp_tools/<tool> |
POST | 统一工具调用 |
/health |
GET | 健康检查 |
/mcp/capabilities |
GET | 能力发现 |
PART 06MCP 协议支持
initialize- 协议初始化ping- 连接存活检测tools/list- 工具列表查询tools/call- 工具调用
重点导读快速开始
PART 07环境要求
- Python 3.8+
- Flask >= 3.0.0
- sqlmap 命令行工具
PART 08安装启动
bashpip install -r requirements.txt
python server.py --port 5000 --debug
PART 09API 调用示例
SQLMap 扫描
bashcurl -X POST http://localhost:5000/api/tools/sqlmap \\
-H \"Content-Type: application/json\" \\
-d '{\"url\": \"http://example.com/vuln.php?id=1\"}'
MCP JSON-RPC 调用
bashcurl -X POST http://localhost:5000/ \\
-H \"Content-Type: application/json\" \\
-d '{
\"jsonrpc\": \"2.0\",
\"id\": 1,
\"method\": \"tools/call\",
\"params\": {
\"name\": \"sqlmap_scan\",
\"arguments\": {\"url\": \"http://example.com/test.php?id=1\"}
}
}'
重点导读扩展开发
PART 10开发新工具
参考 app/tools/_tool_template.py 模板：
pythonfrom typing import Any, Dict
from .base_tool import BaseTool
class MyNewTool(BaseTool):
name = \"my_new_tool\"
description = \"工具功能描述\"
input_schema = {
\"type\": \"object\",
\"properties\": {
\"param1\": {\"type\": \"string\"},
},
\"required\": [\"param1\"],
}
def run(self, params: Dict[str, Any]) -> Dict[str, Any]:
return {\"success\": True, \"result\": \"执行结果\"}
工具类自动被 tool_dispatcher 发现并注册。
重点导读应用场景
- AI 安全助手 - AI 通过 MCP 协议调用安全工具
- 自动化安全测试 - CI/CD 流程集成
- 安全工具编排 - 统一管理调度多工具
重点导读注意事项
- 生产环境建议绑定
127.0.0.1限制访问 - 命令执行工具存在安全风险，请谨慎使用
- 确保系统中已安装 sqlmap 命令行工具
本公众号非项目作者，仅做技术分享。
本文介绍的项目开源地址如下：
https://github.com/haobachang-1/HBC_SEC_MCP
广告时间
低价考证包括但不限于CISP系列、PMP等等国内网安证书、网络安全交流群请关注公众号后点菜单栏的找棉花糖。
糖心会员站，网络安全必备网站，包括在线内网靶场、web靶场、src靶场、应急响应靶场，以及各种网安资料、教程、方案模版、以及超级多在线工具，99元包年！详细介绍：棉花糖会员站介绍(26年4月26日版本) ：在线内网靶场、网安资料方案、在线工具全能资源站，看完介绍百分百心动！
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论