Перехват и трафик MCP-сервера через Burp Suite / ZAP**

##Что это такое?

Appsecco MCP Client and Proxy - это инструмент тестирования безопасности, который позволяет перехватывать, проверять и изменять трафик протокола Model Context Protocol (MCP) с использованием прокси-серверов перехвата, таких как Burp Suite или ZAP.

Он действует как универсальный MCP-клиент, который может подключаться к любому MCP-серверу — локальному или удаленному — и маршрутизировать весь трафик через выбранный вами прокси-сервер для анализа безопасности.

Ключевые особенности

Burp Suite / ZAP Integration - Маршрутизация всего MCP-трафика через прокси-сервер Множественные режимы подключения — локальные серверы, удаленные через mcp-remote или прямые конечные точки HTTP/SSE ** Полная видимость трафика** — перехватывает как локальный ретрансляционный трафик, так и бэкэндный трафик HTTPS OAuth 2.1 Поддержка - Автоматический MCP-специальный поток OAuth с PKCE Static Header Auth — API-ключи, токены Bearer, пользовательские заголовки HTTP/2 Support — Прямые удаленные соединения используют httpx с HTTP/2 Интеграция прокси-цепей Маршрутный субпроцессный трафик через Burp Session Logging — весь выход CLI отправляется в файл журнала с временными метками для последующего просмотра

Appsecco MCP Client and Proxy

Intercept and Proxy MCP Server Traffic Through Burp Suite / ZAP

---

What is this?

The Appsecco MCP Client and Proxy is a security testing tool that lets you intercept, inspect, and modify Model Context Protocol (MCP) traffic using interception proxies like Burp Suite or ZAP.

It acts as a universal MCP client that can connect to any MCP server — local or remote — and route all traffic through your proxy of choice for security analysis.

Key Features

• Burp Suite / ZAP Integration — Route all MCP traffic through your interception proxy
• Multiple Connection Modes — Local stdio servers, remote via mcp-remote, or direct HTTP/SSE endpoints
• Full Traffic Visibility — Intercept both local relay traffic AND backend HTTPS traffic
• OAuth 2.1 Support — Automatic MCP-spec-compliant OAuth flow with PKCE
• Static Header Auth — API keys, Bearer tokens, custom headers
• HTTP/2 Support — Direct remote connections use httpx with HTTP/2
• Proxychains Integration — Route subprocess traffic through Burp
• Session Logging — All CLI output is tee’d to a timestamped log file for later review
• Interactive CLI — Select servers, list tools, call tools with arguments

---

Installation

Prerequisites

• Python 3.7+
• Node.js 18+ and npm (for npx-based MCP servers)
• Proxychains (optional, for routing subprocess traffic)
• Burp Suite or ZAP (for traffic interception)

Setup

# Clone the repository
git clone https://github.com/appsecco/mcp-client-and-proxy.git
cd mcp-client-and-proxy

# Create and activate virtual environment
python3 -m venv venv && source venv/bin/activate

# Install Python dependencies
pip3 install -r requirements.txt

# Install Node.js dependencies (for backend traffic interception)
npm install -g global-agent
npm install undici

Install Proxychains (optional)

• macOS: brew install proxychains-ng
• Ubuntu/Debian: sudo apt-get install proxychains
• CentOS/RHEL: sudo yum install proxychains

---

Quick Start

1. Configure your MCP servers

Create or edit mcp_config.json:

{
  "mcpServers": {
    "my-remote-mcp": {
      "url": "https://remote.example.com/mcp"
    }
  }
}

2. Start Burp Suite

Launch Burp Suite listening on 127.0.0.1:8080 (the default).

3. Run the tool

# For remote MCP servers (direct-remote mode)
python3 app.py

# For local stdio / mcp-remote servers (starts local proxy on port 3000)
python3 app.py --start-proxy

4. Interact