MCP漏洞报告
用于安全评估的专业漏洞报告生成器。此MCP服务器按照行业最佳实践创建标准化、格式良好的安全报告。
⚠️ 重要提示：人工智能生成的内容
此MCP 不使用预先编写的模板相反， 人工智能（Claude）生成所有报告内容 基于特定的漏洞实例。报告结构遵循以下模板格式 /Users/orhanyildirim/Desktop/mcp-browser-injection-extented/report.md，但内容是为每个独特的发现动态创建的。
AI生成什么：
- ✅ 脆弱性概述（对脆弱性类型的教育性描述）
- ✅ 具体发现（对该实例的详细分析）
- ✅ 复制步骤（针对目标应用程序定制）
- ✅ 建议（可操作的补救指南）
- ✅ 影响（业务和技术影响分析）
- ✅ 参考文献（OWASP、CWE、安全资源）
特性
- 人工智能驱动的内容生成：Claude为每个漏洞生成全面的上下文报告内容
- 模板结构合规性：保持报告模板中的确切格式
- 灵活的内容：适应不同的漏洞类型、严重程度和应用程序环境
- CVSS评分：自动CVSS v3.1评分和矢量计算
- 证据管理：支持截图、HTTP请求/响应、PoC代码
- Markdown导出：专业的降价报告已准备好提交bug赏金或pentest可交付成果
- 参考数据库：如果AI不提供自定义引用，则回退到默认的OWASP/CWE引用
安装
npm install
npm run build使用Claude Desktop
添加到您的Claude Desktop配置文件中：
macOS: ~/Library/Application Support/Claude/claude_desktop_config.json 视窗: %APPDATA%\Claude\claude_desktop_config.json
{
"mcpServers": {
"browser-automation": {
"command": "node",
"args": ["/Users/your-username/Desktop/mcp-browser-injection-extented/dist/index.js"]
},
"vulnerability-reporting": {
"command": "node",
"args": ["/Users/your-username/Desktop/mcp-vulnerability-reporting/dist/index.js"]
}
}
}可用工具
1. create_vulnerability_report
根据模板结构，使用AI生成的内容创建新的漏洞报告。
重要：AI必须生成所有内容部分。此工具不使用预先编写的模板。
参数：
vulnerability：包含漏洞详细信息的对象
- type：漏洞类型（例如，Async注入、XSS、SSTI） - severity：严重性级别（严重、高、中、低、信息性） - url：目标URL - parameter：易受攻击的参数名称 - payload：有效载荷成功 - affectedEndpoint （可选）：特定端点 - method （可选）：HTTP方法
overview: AI生成 -漏洞类型的一般描述（它是什么，它是如何工作的，为什么它是危险的）
findings：有具体发现的对象
- specificDescription: AI生成 -此特定实例的详细说明 - detectedBehaviors：观察到的行为数组（来自测试） - confidence：检测置信度
stepsToReproduce: AI生成 -一系列分步复制说明
recommendations: AI生成 -一系列补救建议，格式如下：
- "- **Bold Header**: Detailed explanation"
impacts: AI生成 -具有格式的潜在影响数组：
- "- **Bold Header**: What could happen"
references（可选）：安全引用数组
- 如果没有提供，则使用模板默认值
退货： 未来操作的报告ID
2. add_evidence_to_report
向现有报告添加证据。
参数：
reportId：目标报告IDevidenceType：证据类型（截图、请求、响应、poc、代码）content：证据内容或文件路径description：证据描述
3. calculate_cvss_score
计算报告的CVSS分数和向量。
参数：
reportId：目标报告ID
4. export_report
将报告导出为markdown文件。
参数：
reportId：要导出的报告IDoutputPath：输出文件路径
5. list_reports
列出所有生成的报告。
6. get_report_preview
以markdown格式预览报告。
参数：
reportId：要预览的报告ID
7. get_report_template
获取AI应遵循的确切报告模板格式。 在创建报告之前使用此功能 了解所需的结构。
参数： 无
退货： 带有AI内容生成详细格式说明的模板
使用浏览器MCP的工作流示例
以下是如何同时使用这两个MCP。 Claude生成所有报告内容：
User: "Test https://vulnerable-site.com/login for SQL injection and create a professional report"
Claude uses Browser MCP:
1. browser_navigate({ url: "https://vulnerable-site.com/login" })
2. browser_test_payload({
targetSelector: "#username",
payload: "' OR 1=1--",
submitSelector: "#login"
})
// Returns: { isVulnerable: true, confidence: "high", detectedBehaviors: [...] }
3. browser_screenshot({ path: "./evidence/sqli-bypass.png" })
Claude uses Reporting MCP (AI GENERATES ALL CONTENT):
4. get_report_template()
// Returns: Template with exact structure and formatting requirements
5. create_vulnerability_report({
vulnerability: {
type: "SQL_INJECTION",
severity: "Critical",
url: "https://vulnerable-site.com/login",
parameter: "username",
payload: "' OR 1=1--",
method: "POST"
},
// AI WRITES THIS OVERVIEW:
overview: "SQL Injection is a code injection technique that exploits security vulnerabilities in an application's database layer. This vulnerability occurs when user-supplied input is incorporated into SQL queries without proper sanitization...",
findings: {
// AI WRITES THIS SPECIFIC DESCRIPTION:
specificDescription: "The login form at /login endpoint is vulnerable to SQL injection via the username parameter. The application directly concatenates user input into SQL queries without using parameterized statements...",
detectedBehaviors: ["SQL_ERROR_MESSAGE", "AUTHENTICATION_BYPASS"],
confidence: "high"
},
// AI GENERATES THESE STEPS:
stepsToReproduce: [
"Navigate to https://vulnerable-site.com/login",
"In the username field, enter: ' OR 1=1--",
"In the password field, enter any value",
"Click the login button",
"Observe successful authentication bypass",
"Verify by checking session cookie"
],
// AI WRITES THESE RECOMMENDATIONS:
recommendations: [
"- **Use Parameterized Queries**: Implement prepared statements with parameterized queries for all database interactions...",
"- **Input Validation**: Implement strict server-side input validation...",
"- **Principle of Least Privilege**: Configure database accounts with minimal permissions..."
],
// AI WRITES THESE IMPACTS:
impacts: [
"- **Complete Authentication Bypass**: An attacker can bypass the login mechanism entirely...",
"- **Sensitive Data Exfiltration**: Using UNION-based attacks, attackers can extract database contents...",
"- **Database Manipulation**: Attackers could modify or delete records..."
]
})
6. add_evidence_to_report({
reportId: "vuln_report_xxx",
evidenceType: "screenshot",
content: "./evidence/sqli-bypass.png",
description: "Authentication Bypass - Successfully logged in as admin"
})
7. calculate_cvss_score({ reportId: "vuln_report_xxx" })
8. export_report({
reportId: "vuln_report_xxx",
outputPath: "./reports/sql-injection-login-bypass.md"
})看 USAGE_EXAMPLE.md 以获得完整详细的示例。
报告格式
报告遵循以下确切的模板结构 /Users/orhanyildirim/Desktop/mcp-browser-injection-extented/report.md:
## Vulnerability Overview
[AI-generated general description of vulnerability type]
### Finding Details
[AI-generated specific findings for this instance]
### Steps To Reproduce
1. [AI-generated step]
2. [AI-generated step]
...
## Recommendations
To address this finding, implement the following:
[AI-generated recommendations with bold headers]
## References
See the following for more information:
[AI-generated or template default references]
## Impacts
If not addressed, this finding could lead to the following:
[AI-generated impacts with bold headers]运作原理
- 模板加载：MCP读取
report.md模板从其目录 - AI读取模板：使用
get_report_template()查看所需的确切结构 - 模板结构：markdown格式是固定的，与您的报告模板完全匹配
- AI内容：Claude根据以下内容生成所有描述性内容：
- 测试期间发现的特定漏洞 - 安全最佳实践和行业标准 - 目标应用程序的上下文 - 严重性和置信水平 - 模板格式指南
- 灵活性：内容适应不同的漏洞类型、应用程序和上下文
- 后备参考：如果AI不提供自定义引用，漏洞数据库将提供常见类型的默认值（SQL注入、XSS、SSTI、命令注入、NoSQL、LDAP、XXE）
发展
# Run in development mode
npm run dev
# Build for production
npm run build
# Run production build
npm start建筑
index.ts：主MCP服务器实现vulnerability-db.ts：带有模板的漏洞知识库dist/：编译的JavaScript输出
与浏览器自动化MCP集成
此MCP旨在与 mcp浏览器注入扩展 MCP服务器。浏览器MCP处理：
- 自动化漏洞测试
- 有效载荷生成和测试
- 证据收集（截图、HTTP响应）
然后，报告MCP将这些发现转化为专业安全报告。
许可证
麻省理工学院
贡献
欢迎投稿！请提交问题并提取请求。