mitmproxy MCP Server
MCP-сервер поверх mitmproxy: агент читает HTTP-трафик, подменяет ответы, повторяет запросы и собирает спецификацию API.
- 134 ★ репозитория
- Последний коммит
Широкий доступ
Почему такой уровень
- Агент перехватывает и меняет HTTP-трафик, включая токены и личные данные, которые попадают в контекст модели.
- Фаззинг, подмена ответов и имитация отпечатка браузера против чужих систем нарушают закон и правила сервисов.
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add mcp/mitmproxy-mcp-serverОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- Агент перехватывает и меняет HTTP-трафик, включая токены и личные данные, которые попадают в контекст модели.
- Фаззинг, подмена ответов и имитация отпечатка браузера против чужих систем нарушают закон и правила сервисов.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
mitmproxy MCP Server запускает прокси mitmproxy и отдает агенту управление им как набор инструментов. Агент включает и останавливает прокси, ограничивает запись нужными доменами, ищет потоки по слову, методу и домену, раскрывает любой запрос с заголовками, телом и эквивалентом `curl`. Дальше начинается работа с трафиком: правила перехвата добавляют заголовки, подменяют тело ответа по регулярному выражению или блокируют запросы. `replay_flow` повторяет запрос с отпечатком TLS настоящего браузера через `curl-cffi`. Сервер вытаскивает значения из ответов по JSONPath и CSS-селекторам, хранит переменные сессии, группирует эндпоинты, экспортирует спецификацию OpenAPI, определяет схему аутентификации, запускает пробный фаззинг параметров и генерирует код скрапера.
Для кого. Разработчикам клиентов для недокументированных API и тестировщикам, которые разбирают сетевой обмен приложения вместе с агентом.
Подходит, если
- Фронтенд получает 500, а причину ищут в заголовках и теле запросов.
- У внутреннего сервиса нет документации, и агент восстанавливает по трафику схему JSON.
- Ответ бэкенда подменяют заготовкой, чтобы проверить интерфейс без готового сервера.
- На своем приложении прогоняют быстрый DAST: пробные нагрузки по параметрам запроса.
Не подходит, если
- Тестируют чужую систему без письменного разрешения владельца.
- Нужен перехват зашифрованного трафика устройства, где нельзя поставить сертификат mitmproxy.
- Сервис запрещает скрапинг в условиях использования.
Пример запроса к агенту
Запусти прокси, ограничь запись доменом `api.example.com`, найди запросы авторизации и построй по ним спецификацию OpenAPI.MCP
- Транспорт
- stdio
- Авторизация
- не нужна
Ограничения
Для разбора HTTPS в браузер или приложение нужно установить сертификат mitmproxy и направить трафик на `localhost:8080`; без этого потоков не будет. Перехваченные заголовки, токены и тела ответов попадают в контекст модели и ее журналы, поэтому ограничивайте домены через `set_scope`. Режим `replay_flow` подделывает отпечаток TLS браузера и обходит простые антибот-проверки, что нарушает правила многих сервисов. Фаззинг и подмена ответов допустимы только на своих системах. README не указывает ограничений по версиям mitmproxy и Python.
Как отключить. Вызовите `stop_proxy`, затем удалите запись сервера из настроек клиента. Сертификат mitmproxy уберите из хранилища доверенных, а настройки прокси в браузере сбросьте.
Частые вопросы
С чего начать работу с сервером?
Вызовите `start_proxy`, затем `set_scope` с нужными доменами и направьте браузер на `localhost:8080`. После этого `get_traffic_summary` покажет первые потоки.
Как повторить запрос с другим телом?
Используйте `replay_flow` с идентификатором потока и новыми `headers_json` или `body`. Запрос уйдет с отпечатком браузера через `curl-cffi`.
Как достать токен из ответа и подставить в следующий запрос?
Сохраните значение через `extract_session_variable` с регулярным выражением, а в повторе укажите имя переменной. Так передают CSRF-токены и сессионные ключи.
Что дает `export_openapi_spec`?
Инструмент группирует похожие эндпоинты, выделяет параметры пути и запроса и выдает спецификацию OpenAPI v3 в JSON. Качество зависит от объема пойманного трафика.
Есть ли запасной вариант установки без `uvx`?
Да, есть `uv tool install mitmproxy-mcp`, Docker и ручной `pip install`. Для запуска из клона используют `uv run --directory`.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
MCP-серверыCLI-посредник проверяет сетевые запросы и вызовы MCP агента: утечки секретов, опасные адреса и внедренные инструкции
70 инструментов для прокси Caido: история запросов, повтор, фаззинг и находки доступны агенту при авторизованном тестировании.
Сканер безопасности для MCP-серверов: ищет зашитые ключи, отравление инструментов и инъекции в коде репозитория.
RE-MCP открывает агенту IDA Pro и Ghidra в безголовом режиме: функции, декомпилятор, перекрестные ссылки, типы и патчинг.
Шлюз для MCP-серверов: плагины маскировки известных секретов в текстовых ответах, проверки репутации и записи вызовов
Перехватывающий HTTP-прокси с терминальным интерфейсом и MCP-сервером: агент читает трафик, повторяет запросы и сканирует.
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Авторизация | Звезды репозитория | Главное отличие |
|---|---|---|---|---|
| mitmproxy MCP Server (эта карточка) | нет | не нужна | 134 | |
| Burp Suite MCP Server | да | не нужна | 1 | подключает агента к Burp Suite для пентеста; mitmproxy MCP запускает свой прокси и строит по трафику OpenAPI и код |
| BurpMCP-Ultra | нет | API-ключ | 297 | расширение Burp с инструментами пентеста; здесь проще вход и упор на воспроизведение API и скрапинг |
Коротко о README
README разделяет возможности на четыре группы: управление прокси, осмотр и поиск трафика, перехват с подменой, анализ API с генерацией кода. Для каждого инструмента даны параметры.