Поддержка развития

Если этот проект помогает вашей работе, поддержите текущее обслуживание и новые функции.

** Кошелек пожертвований** [[Т0]]

Сканируйте QR-код или скопируйте адрес кошелька выше.

Mcpwn - MCP Security Testing Framework

Автоматизированный сканер безопасности для серверов протокола Model Context, который обнаруживает RCE, обход пути, быструю инъекцию и уязвимости протокола.

##Почему Макпон?

Серверы MCP предоставляют мощные возможности агентам ИИ. Один уязвимый инструмент = полный системный компромисс

Что делает Макпон: ** • Обнаруживает RCE через инъекцию команды в аргументах инструмента Найти ** Path Traversal** уязвимости в файловых операциях Выявляет ** быстрый риск инъекции** в инструментах, ориентированных на LLM

• ✅ Тесты Протокол фюзинга и государственные десинхронные атаки Создает ** структурированные отчеты** (JSON/SARIF) для анализа ИИ и CI/CD Результаты этапов для ИИ - автоматизированный базовый уровень → глубокий анализ ИИ Ноль зависимостей - чистый Python stdlib

Быстрый старт

** Реальное воздействие:** Mcpwn обнаружил уязвимости RCE в производственных серверах MCP, протестировав шаблоны инъекций аргументов инструмента, которые пропустил ручной анализ кода.

Mcpwn - MCP Security Testing Framework

Automated security scanner for Model Context Protocol servers that detects RCE, path traversal, prompt injection, and protocol vulnerabilities.

Why Mcpwn?

MCP servers expose powerful capabilities to AI agents. One vulnerable tool = full system compromise.

What Mcpwn Does:

• ✅ Detects RCE via command injection in tool arguments
• ✅ Finds path traversal vulnerabilities in file operations
• ✅ Identifies prompt injection risks in LLM-facing tools
• ✅ Tests protocol fuzzing and state desync attacks
• ✅ Generates structured reports (JSON/SARIF) for AI analysis & CI/CD
• ✅ Stages findings for AI - automated baseline → AI deep analysis
• ✅ Zero dependencies - pure Python stdlib

Quick Start:

# Scan any MCP server in 5 seconds
python mcpwn.py --quick npx -y @modelcontextprotocol/server-filesystem /tmp

# Get JSON report for AI analysis
python mcpwn.py --output-json report.json npx -y @modelcontextprotocol/server-filesystem /tmp

Real Impact: Mcpwn found RCE vulnerabilities in production MCP servers by testing tool argument injection patterns that manual code review missed.

Installation

# Clone repository
git clone https://github.com/Teycir/Mcpwn.git
cd Mcpwn

# Make executable
chmod +x mcpwn.py

# Run directly (no dependencies needed)
python3 mcpwn.py --help

Prerequisites

• Python 3.8+
• Core framework uses stdlib only (no dependencies)

Features

• Semantic Detection: Pattern-based exploit detection (RCE, file read, timing attacks)
• Side-Channel Detection: Timing, size, and behavioral anomaly detection
• Paranoid Profile: Production security profile with enhanced thresholds
• Thread-Safe: Concurrent operations with proper locking
• Configurable Timeouts: Per-request timeout control with deadline tracking
• Payload Deduplication: Efficient testing without redundant payloads
• Structured Logging: Comprehensive logging with severity levels