mcpField
O
owasp-mcp

owasp-mcp

github.com/microsoft安全1.6k105 次安装今天更新
代码仓库

关于 owasp-mcp

owasp-mcp 是面向 Agent 的安全技能，将 OWASP MCP Top 10（2025）整理为结构化参考资料，供识别、评估和修复 MCP 安全风险。

主要功能

  1. 01涵盖 OWASP MCP Top 10（2025）
  2. 02按漏洞提供规范文档
  3. 03提供漏洞索引、严重性和交叉引用

适用场景

  1. 01评估 MCP 系统的安全风险
  2. 02查找漏洞编号及相关参考
  3. 03制定 MCP 漏洞修复方案

MCP 相关

该技能提供 OWASP MCP Top 10 参考资料，帮助 Agent 识别、评估和修复 MCP 安全风险。

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/microsoft/hve-core --skill owasp-mcp

安装后在 Claude Code 中输入/owasp-mcp确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

references/
00-vulnerability-index.md
01-token-mismanagement-secret-exposure.md
02-privilege-escalation-scope-creep.md
03-tool-poisoning.md
04-supply-chain-attacks-dependency-tampering.md
05-command-injection-execution.md
06-prompt-injection-contextual-payloads.md
07-insufficient-authentication-authorization.md
08-lack-of-audit-telemetry.md
09-shadow-mcp-servers.md
10-context-injection-over-sharing.md

详细介绍

OWASP MCP Top 10 — Skill Entry

此 SKILL.md 是 MCP 漏洞 Skill 的入口文件。

此 Skill 将 OWASP MCP Top 10 (2025) 编制为结构化、机器可读的参考资料， Agent 可以查询这些资料，以识别、评估和修复 MCP 安全风险。

规范性参考资料（MCP Top 10）

  1. 00 漏洞索引
  2. 01 令牌管理不当与机密泄露
  3. 02 通过权限范围扩张导致的权限升级
  4. 03 工具投毒
  5. 04 软件供应链攻击与依赖项篡改
  6. 05 命令注入与执行
  7. 06 通过上下文载荷进行提示词注入
  8. 07 身份验证与授权不足
  9. 08 缺少审计与遥测
  10. 09 影子 MCP 服务
  11. 10 上下文注入与过度共享

Skill 目录结构

  • SKILL.md — 本文件（Skill 入口文件）。
  • references/ — MCP Top 10 规范性文档。
    • 00-vulnerability-index.md — 所有漏洞标识符、严重性和交叉引用的索引。
    • 01 至 10 — 按照 OWASP MCP 编号编写的漏洞文档，每个漏洞对应一份文档。

评论

支持 Markdown