Caido MCP Server (C0tton Fluff)

caido-mcp-server

MCP server and CLI for Caido web proxy - browse, replay, and analyze HTTP traffic from AI assistants or your terminal.

______________________________________________________________________

它做什么

与Caido代理交互的两种方式：

• MCP服务器 -通过模型上下文协议向AI助手公开42个工具和4个只读资源（Claude Code、Cursor等）
• 命令行界面 -适用于喜欢命令行的Pentester的独立终端客户端

两者共享相同的身份验证令牌、相同的Go SDK和相同的代码库。

特性

内置安全性和性能：

• 凭证编校-在工具输出中对授权、Cookie和API密钥头进行编校
• 会话cookie jar-每个重播会话的RFC 6265 jar； Set-Cookie 从响应自动附加到下一个 send_request 反对同一届会议
• 响应指纹识别-自动检测内容类型（json/html/xml/text/binary），以便代理知道他们正在处理什么
• 自适应体限制-JSON获取4KB，HTML获取3KB，二进制获取200B（用显式重写 bodyLimit)
• 响应差异-同一会话中重复的相同响应会折叠为一行摘要，从而节省令牌
• 输入验证-对所有字符串输入进行长度限制，以防止上下文泛滥
• 令牌自动刷新-过期的OAuth令牌在会话中期自动刷新
• 会话重用-每个服务器生命周期只有一个重播会话，没有蔓延

会话cookie罐

这 caido_send_request 工具在内存中维护 http.CookieJar 每次重播会话。通过设置Cookie Set-Cookie 在任何响应中，都会存储并自动注入到针对同一RFC 6265域/路径的后续请求中。通过 useCookieJar: false 只需一次调用即可禁用注入（可用于会话固定测试或验证身份验证门）。使用 caido_clear_session_cookies 在测试运行之间擦除会话jar caido_get_session_cookies 反思存储的内容（不返回cookie值，只返回元数据）。

输出的 caido_send_request 包括a cookieJar 块与 injectedCookies （本次通话中发送的姓名）以及 storedCookies （姓名取自 Set-Cookie)，因此LLM可以验证保持身份验证的链。

______________________________________________________________________

MCP服务器

安装

curl -fsSL https://raw.githubusercontent.com/c0tton-fluff/caido-mcp-server/main/install.sh | bash

或者从以下网址下载预构建的二进制文件 发布 （macOS、Linux、Windows-amd64/arm64）。

Build from source

git clone https://github.com/c0tton-fluff/caido-mcp-server.git
cd caido-mcp-server
go build -ldflags "-X main.version=$(git describe --tags)" -o caido-mcp-server ./cmd/mcp

快速开始

选项A：个人访问令牌（推荐）

在Caido中生成PAT（设置>开发人员>个人访问令牌），并通过环境变量传递它。不需要登录命令。

{
  "mcpServers": {
    "caido": {
      "command": "caido-mcp-server",
      "args": ["serve"],
      "env": {
        "CAIDO_URL": "http://127.0.0.1:8080",
        "CAIDO_PAT": "your-personal-access-token"
      }
    }
  }
}

选项B:Autho设备流

CAIDO_URL=http://localhost:8080 caido-mcp-server login

这将打开您的浏览器进行OAuth身份验证，并将令牌保存到 ~/.caido-mcp/token.json。然后配置您的MCP客户端：

{
  "mcpServers": {
    "caido": {
      "command": "caido-mcp-server",
      "args": ["serve"],
      "env": {
        "CAIDO_URL": "http://127.0.0.1:8080"
      }
    }
  }
}

3.使用它

"List all POST requests to /api"
"Send this request with a modified user ID"
"Create a finding for this IDOR"
"Show fuzzing results from Automate session 1"
"What's in scope?"

MCP工具（42）

MCP资源（4）

通过MCP资源协议公开的只读数据。代理可以在不调用工具的情况下读取这些内容。

Parameter reference

caido_list_requests

caido_get_request

caido_send_request

caido_get_replay_entry

caido_get_automate_entry

caido_create_finding

caido_create_scope

caido_select_项目

caido_intercept_control

caido_list_intercept_entrys

caido_forward_intercept

caido_drop_intercept

caido_automate_task_control

caido_delete调查结果

caido_export_findings

caido_list_环境

无需参数。返回所有包含变量和选定/全局上下文的环境。

caido_select_environment

caido_run工作流

caido_toggle_workflow

caido_list_tamper_rules

无需参数。返回所有具有嵌套规则的篡改规则集合。

caido_create_tamper_rule

caido_toggle_tamper_rule

caido_delete_tamper_rule

______________________________________________________________________

命令行界面

Caido的独立终端客户端。无需MCP-直接从您的shell中使用它。

安装

curl -fsSL https://raw.githubusercontent.com/c0tton-fluff/caido-mcp-server/main/install.sh | TOOL=cli bash

或从以下网址下载 发布.

Build from source

git clone https://github.com/c0tton-fluff/caido-mcp-server.git
cd caido-mcp-server
go build -o caido-cli ./cmd/cli

用法

需要身份验证-任一设置 CAIDO_PAT env变量或运行 caido-mcp-server login 第一。

# Check connection and auth
caido status -u http://localhost:8080

# Send structured requests
caido send GET https://target.com/api/users
caido send POST https://target.com/api/login -j '{"user":"admin","pass":"test"}'
caido send PUT https://target.com/api/profile -H "Authorization: Bearer tok" -j '{"role":"admin"}'

# Send raw HTTP requests
caido raw 'GET /api/users HTTP/1.1\r\nHost: target.com\r\n\r\n'
caido raw -f request.txt --host target.com --port 8443
echo -n 'GET / HTTP/1.1\r\nHost: example.com\r\n\r\n' | caido raw -

# Browse proxy history
caido history
caido history -f 'req.host.eq:"target.com"' -n 20

# Get full request/response details
caido request 12345

# Encode/decode
caido encode base64 "hello world"
caido decode url "%3Cscript%3E"
caido encode hex "test"

命令

全球旗帜

______________________________________________________________________

建筑

caido-mcp-server/
  cmd/
    mcp/          MCP server (stdio transport)
    cli/          Standalone CLI
  internal/
    auth/         OAuth device flow, PAT support, token store, auto-refresh
    httputil/     HTTP parsing, fingerprinting, response diff, CRLF normalization
    replay/       Replay session management, cookie jar, response polling
    resources/    MCP read-only resources (requests, sessions, sitemap, findings)
    tools/        MCP tool definitions (one file per tool)
    testutil/     Mock GraphQL server, MCP test helpers, fixtures

两者 cmd/mcp 和 cmd/cli 分享 internal/ 包装。该项目使用 caido社区/sdk go 用于与Caido的所有GraphQL通信。

______________________________________________________________________

故障排除

MCP服务器日志： ~/.cache/claude-cli-nodejs/*/mcp-logs-caido/

______________________________________________________________________

安全

所有工具输出中的敏感HTTP头（授权、Cookie、Set-Cookie、API密钥）都会自动编辑，以防止凭据泄漏到LLM上下文。所有字符串输入都是服务器端长度验证的。请求批量大小有上限。

PAT令牌和OAuth令牌以0600权限存储，从不出现在进程参数或日志输出中。

要报告安全问题，请打开GitHub问题或直接联系维护人员。

______________________________________________________________________

贡献

1. 分叉回购
2. 创建要素分支
3. go build ./... 和 go test ./... -race
4. 打开PR（CI运行构建、测试、审查、统计检查）

许可证

麻省理工学院