turbopentest

@turbopentest/mcp-server

TurboPentest 的 MCP 服务——启动 AI 驱动的渗透测试、查看漏洞发现结果并生成安全报告，全程无需离开你的编码助手。

功能介绍

让你的 AI 助手运行渗透测试、检查进度并引导你完成修复——服务会处理所有 API 调用。每次完成的扫描都会锚定到区块链，提供防篡改的证明，供你与客户或审计人员分享。

快速开始

1. 获取 API 密钥

在 turbopentest.com/settings/api-keys 注册并创建 API 密钥。

2. 验证域名

扫描前，请在 turbopentest.com/domains 验证你拥有目标域名。

3. 将服务添加到 MCP 客户端

Claude Code（项目根目录中的 .mcp.json）：

{
  "mcpServers": {
    "turbopentest": {
      "command": "npx",
      "args": ["@turbopentest/mcp-server"],
      "env": {
        "TURBOPENTEST_API_KEY": "tp_live_..."
      }
    }
  }
}

Claude Desktop（claude_desktop_config.json）：

{
  "mcpServers": {
    "turbopentest": {
      "command": "npx",
      "args": ["@turbopentest/mcp-server"],
      "env": {
        "TURBOPENTEST_API_KEY": "tp_live_..."
      }
    }
  }
}

Cursor（Settings > MCP Servers > Add）：

{
  "command": "npx",
  "args": ["@turbopentest/mcp-server"],
  "env": {
    "TURBOPENTEST_API_KEY": "tp_live_..."
  }
}

OpenAI Codex CLI（~/.codex/config.toml，或运行 codex mcp add turbopentest -- npx @turbopentest/mcp-server，并在提示时设置环境变量）：

[mcp_servers.turbopentest]
command = "npx"
args = ["@turbopentest/mcp-server"]

[mcp_servers.turbopentest.env]
TURBOPENTEST_API_KEY = "tp_live_..."

然后在 Codex 中运行 /mcp，确认列表中有 turbopentest。Codex 的 MCP 客户端不支持“prompts”原语，因此这四个引导式工作流也以普通工具的形式 提供（turbopentest_workflow_*，见下文），并在本仓库的 AGENTS.md 中 进行了说明，Codex 会自动读取该文件。

会话示例

You:    "Run a standard pentest on staging.example.com"
Claude: Checks domain is verified, confirms credit balance,
        calls start_pentest → "Started tp_abc123, 4 agents, ~1 hour"

You:    "Any findings yet?"
Claude: Calls get_pentest → "62% complete — 3 findings (1 high, 2 medium)"

You:    "Show me the high severity ones"
Claude: Calls get_findings(severity: "high") →
        [1] HIGH: SQL Injection in /api/search
            CVSS: 8.6 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N)
            CWE: CWE-89
            PoC: POST /api/search?q=' OR 1=1--
            Remediation: Use parameterized queries...
            Retest: sqlmap -u "https://staging.example.com/api/search" ...

You:    "Give me a prioritized remediation plan"
Claude: Uses the analyze_findings prompt → produces a full markdown
        remediation plan grouped by severity and effort

白盒扫描

将 GitHub 仓库 URL 传递给 start_pentest，即可启用白盒模式。除了黑盒测试，扫描还会包含：

• SAST — 静态代码分析，用于查找常见漏洞模式
• Secret detection — 检查源代码中泄露的 API 密钥、凭据和令牌
• SCA — 依赖项审计，用于查找已知 CVE

You:  "Pentest staging.example.com, the repo is github.com/myorg/myapp"

工具

工具	描述
turbopentest_start_pentest	对已验证的域名启动渗透测试。支持四种级别，并可选择提供 GitHub 仓库进行白盒扫描。
turbopentest_get_pentest	获取扫描状态、进度、发现结果摘要、执行摘要、攻击面地图和 STRIDE 威胁模型。
turbopentest_list_pentests	列出所有渗透测试及其状态和发现数量。可按状态筛选。
turbopentest_get_findings	获取结构化发现结果，包括严重程度、CVSS、CWE、OWASP 类别、PoC、修复步骤和复测命令。可按严重程度筛选。
turbopentest_download_report	下载 Markdown（最适合 AI）、JSON 或 PDF 格式的报告。
turbopentest_get_credits	查看你的积分余额、可用扫描级别及价格。
turbopentest_verify_attestation	通过 SHA-256 哈希验证锚定到区块链的证明。无需 API 密钥——这是一个公共端点。
turbopentest_list_domains	列出你已验证的域名及其验证状态。
turbopentest_workflow_run_pentest	将 run_pentest 工作流说明作为工具输出返回（适用于不支持 prompts 的客户端，例如 Codex）。
turbopentest_workflow_analyze_findings	将 analyze_findings 工作流说明作为工具输出返回。
turbopentest_workflow_compare_pentests	将 compare_pentests 工作流说明作为工具输出返回。
turbopentest_workflow_security_posture	将 security_posture 工作流说明作为工具输出返回。

安全提示： turbopentest_start_pentest 会在调用 API 前自行检查域名 是否已验证——如果目标域名未在你的账户中验证，它会拒绝启动 （isError: true），而不是完全依赖 Agent 事先进行检查。

提示词

内置提示词可引导 AI 助手完成多步骤工作流。在支持提示词的任何 MCP 客户端（Claude Code、Claude Desktop、Cursor）中按名称调用即可。对于仅支持工具的客户端（Codex），请改用上方对应的 turbopentest_workflow_* 工具——文本完全相同。

提示词	对应工具	描述
run_pentest	turbopentest_workflow_run_pentest	全生命周期渗透测试：域名检查 → 积分验证 → 启动 → 进度监控 → 发现项摘要 → 报告下载
analyze_findings	turbopentest_workflow_analyze_findings	深入分析单次渗透测试的发现项，生成优先级排序的修复计划，并提供工作量估算和复测命令
compare_pentests	turbopentest_workflow_compare_pentests	对同一目标的两次渗透测试进行差异比较，显示新增内容、已修复内容和仍未解决的问题
security_posture	turbopentest_workflow_security_posture	针对最近 5 次渗透测试的管理层简报：风险趋势、风险最高的目标和最重要的 3 项建议行动

扫描级别

级别	Agent 数量	时长	价格
Recon	1	~30 分钟	$49
Standard	4	~1 小时	$99
Deep	10	~2 小时	$299
Blitz	20	~4 小时	$699

默认级别为 standard。快速扫描表面时使用 recon，关键资产需要最大覆盖范围时使用 blitz。

区块链证明

每次完成的渗透测试都会在链上记录为防篡改证明。报告中包含 SHA-256 哈希，你、客户或审计人员均可独立验证，无需 API 密钥：

You:  "Verify attestation abc123def456..."

turbopentest_verify_attestation 会返回扫描元数据（级别、Agent 数量、时长、风险评分、发现项摘要）以及区块链证明（链 ID、交易哈希、区块编号、默克尔根）。

配置

变量	必填	默认值	描述
TURBOPENTEST_API_KEY	是	—	从 turbopentest.com/settings/api-keys 获取的 API 密钥
TURBOPENTEST_API_URL	否	https://turbopentest.com/api	覆盖 API 基础 URL（用于测试）

要求

• Node.js 18+
• 拥有至少一个已验证域名的 TurboPentest 账户

与 OpenAI Codex 搭配使用

完整的 Codex 指南请参阅 docs/CODEX.md，其中包含配置、 工具列表、授权模型，以及引导式工作流为何以 turbopentest_workflow_* 工具而非 MCP 提示词的形式提供。

隐私与支持

• 隐私政策： https://turbopentest.com/privacy
• 子处理商： https://turbopentest.com/subprocessors
• 支持： 在 https://turbopentest.com/support 提交工单（通常会在工作日的几小时内收到回复），或加入 Discord
• 此 MCP 服务中的 Bug： https://github.com/integsec/turbopentest-mcp/issues

你的 API 密钥只会作为 bearer token，通过 HTTPS 发送至 turbopentest.com/api。 它绝不会被记录，也不会传输到其他任何地方。客户的渗透测试内容不会用于训练公开的 AI 模型。

许可证

MIT