ZAP-MCP: Model Context Protocol for OWASP ZAP

ZAP-MCP：OWASP ZAP 的 Model Context Protocol

通过 Model Context Protocol（MCP），将 OWASP ZAP 与 AI 模型强大集成。该项目让 AI 模型能够直接使用 ZAP 的扫描功能，从而实现 AI 驱动的安全测试。

Star 历史

概述

ZAP-MCP 在 AI 模型（如 Claude）与 OWASP ZAP 之间搭建桥梁，从而实现自动化安全测试与分析。它采用客户端-服务端架构，由 ZAP-MCP 充当服务端，提供标准化函数，供 AI 模型通过 MCP 协议调用。

功能

• AI 驱动的安全测试：让 AI 模型执行安全扫描和分析
• 实时扫描监控：跟踪扫描进度并即时接收警报
• 自动化分析：生成安全报告和建议
• 灵活集成：通过 MCP 协议兼容多种 AI 模型
• WebSocket 通信：支持实时更新和交互

前提条件

• Python 3.8+
• 在本地或远程运行的 OWASP ZAP
• Claude Desktop App（或其他兼容 MCP 的客户端）

安装

1. 克隆代码仓库：

git clone https://github.com/tazer/ZAP-MCP.git
cd ZAP-MCP

2. 安装依赖项：

pip install -r requirements.txt

3. 设置 MCP 服务：

./setup_mcp.sh

4. 配置 ZAP-MCP：
   • 将 claude_desktop_config.json 复制到 Claude 应用的配置目录
   • 在配置文件中更新 ZAP API 密钥和 URL

使用方法

1. 启动 MCP 服务：

mcp-server --config claude_desktop_config.json --model-dir ./models

2. 配置 Claude 桌面应用：

   • 打开 Claude 应用设置
   • 启用 MCP 服务集成
   • 将 WebSocket URL 设置为：ws://localhost:7456/ws

3. 开始使用 ZAP-MCP：

   • Claude 应用现在可以使用 ZAP 扫描工具
   • 你可以请求执行安全扫描、获取警报和生成报告

可用工具

MCP 服务提供以下 ZAP 专用工具：

• start_scan：在目标 URL 上启动新的 ZAP 扫描
• get_scan_status：检查正在运行的扫描状态
• get_alerts：获取当前扫描的所有警报
• get_scan_summary：获取当前扫描的摘要

配置

claude_desktop_config.json 文件包含所有必需的设置：

{
    "mcp_server": {
        "host": "localhost",
        "port": 7456,
        "model": "claude-instant-v1",
        "max_tokens": 1000,
        "temperature": 0.7,
        "zap_api_key": "your-zap-api-key",
        "zap_url": "http://localhost:8080"
    },
    "local_models": {
        "path": "./models",
        "prefer_local": true
    },
    "zap_settings": {
        "scan_timeout": 300,
        "max_concurrent_scans": 5,
        "alert_threshold": "HIGH",
        "scan_policy": "default"
    }
}

开发

该项目使用 Cursor AI 开发。Cursor AI 是一款智能编码助手，有助于简化开发流程并确保代码质量。

作者

• TAZER - 初始开发与维护

许可证

本项目采用 MIT License 授权，详情请参阅 LICENSE 文件。

致谢

• 感谢 OWASP ZAP 团队提供出色的安全测试工具
• 感谢 Anthropic 提供 Claude AI
• 感谢 Cursor AI 在开发过程中提供帮助