スキル api-mitmproxy

📦

api-mitmproxy

Name: api-mitmproxy
Author: AgentSecOps

v0.1.0 コンテンツリビジョン r2 重大 ⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス🔑 環境変数⚡ スクリプトを含む

mitmproxyでAPIトラフィックを分析

APIセキュリティテストでは、ライブのリクエストとレスポンスの挙動を明確に可視化する必要があります。このスキルは、検査、変更、再生、レポート作成のための、許可されたmitmproxyワークフローを案内します。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

この Skill を自動インストールしないでください。

基準ポリシーにより、インストール操作の前にオペレーターのレビューが必要です。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "api-mitmproxy" from https://skillstore.io/skills/agentsecops-api-mitmproxy.md and its manifest at https://skillstore.io/api/skills/agentsecops-api-mitmproxy/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/agentsecops-api-mitmproxy.md 署名済み manifest GET /api/skills/agentsecops-api-mitmproxy/manifest 署名済み lockfile GET /api/skills/agentsecops-api-mitmproxy/lockfile

テストする

「api-mitmproxy」を使用しています。許可されたステージングAPIのログインフローを検査する必要があります。

期待される結果:

プロキシ設定、証明書インストール、テストアカウントの境界を含む、スコープを限定したキャプチャ計画。
ヘッダー、Cookie、トークン、ステータスコード、エラーメッセージを確認するためのチェックリスト。
認証情報を編集し、フローファイルを安全に保存するレポートのアウトライン。

「api-mitmproxy」を使用しています。シークレットを公開せずにCI中にAPIチェックを繰り返したいです。

期待される結果:

ローカルプロキシ経由でテストを実行するmitmdumpワークフローのアウトライン。
アーティファクトを保存する前に、キャプチャした値を編集するためのガイダンス。
既知の認証、認可、入力検証チェックに基づく失敗基準。

「api-mitmproxy」を使用しています。モバイルアプリがラボビルドで証明書ピンニングを使用しています。

期待される結果:

認可、ラボデバイス、ロールバック手順を確認する制御されたテスト計画。
プロキシ設定と証明書信頼レビューのオプション。
不要なユーザーデータを収集せずにピンニング挙動を文書化するためのメモ。

セキュリティ監査

重大

v9 • 2026/7/23 バージョン別レポートを開く

Most static alerts are false positives caused by Markdown fences, educational vulnerable-code examples, and documented security references. Confirmed risks include a mutable remote script piped to Bash, third-party token access, unauthenticated all-interface proxy bindings, and destructive certificate reset guidance. Additional concerns are mutable CI action references, authorization token logging, and persistent interception CA trust.

スキャンされたファイル

2,014

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (5)

重大

assets/ci-config-template.yml:240

Pipe to shell pattern

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The workflow pipes an unverified installer from a mutable GitHub branch directly into Bash. This creates a direct CI supply-chain execution path.

重大

SKILL.md:434

Recursive delete on root/home

rm -rf ~/.mitmproxy/

The troubleshooting command recursively deletes the entire mitmproxy home directory without backup or confirmation. It can destroy custom configuration, certificates, keys, and saved state.

高

assets/ci-config-template.yml:161-164 assets/ci-config-template.yml:196-199

Mutable Third-Party CI Actions

The CI template executes third-party actions through mutable tags, including @master, while exposing repository data and a GitHub token.

The action references are visibly tag-based, and @master is mutable. GitHub Actions execute code with job workspace and permission access.

中

SKILL.md:227-242

Authorization Token Logging

An addon captures Authorization values and prints the first 20 characters, which can expose reusable credential material in console or CI logs.

The example explicitly stores Authorization header values and prints a token prefix. Log access can reveal sensitive credential material.

中

SKILL.md:196-215

Persistent Interception CA Trust

The workflow installs and enables trust for an interception CA on client devices without directing users to remove that trust after testing.

The instructions install and trust the mitmproxy CA on Android and iOS. No cleanup step removes the trusted CA after the assessment.

機能レビュー項目 (8)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

高

assets/ci-config-template.yml:164

Git platform tokens

GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

The workflow provides GITHUB_TOKEN to a third-party action referenced by a mutable version tag. A compromised action could use the token's repository permissions.

高

SKILL.md:434

Hidden file in home directory

rm -rf ~/.mitmproxy/

The troubleshooting command recursively deletes the entire mitmproxy home directory without backup or confirmation. It can destroy custom configuration, certificates, keys, and saved state.

中

SKILL.md:65

Hardcoded IP address

mitmproxy --mode regular --listen-host 0.0.0.0 --listen-port 8080

The guidance binds an intercepting proxy to 0.0.0.0 without requiring authentication or firewall restrictions. Other reachable hosts could abuse the proxy or access traffic.

中

SKILL.md:68

Hardcoded IP address

mitmweb --mode regular --listen-host 0.0.0.0 --listen-port 8080

The guidance binds an intercepting proxy to 0.0.0.0 without requiring authentication or firewall restrictions. Other reachable hosts could abuse the proxy or access traffic.

中

SKILL.md:163

Hardcoded IP address

mitmproxy --mode reverse:https://api.example.com --listen-host 0.0.0.0 --listen-port 443

The guidance binds an intercepting proxy to 0.0.0.0 without requiring authentication or firewall restrictions. Other reachable hosts could abuse the proxy or access traffic.

中

SKILL.md:443

Hardcoded IP address

- Ensure mitmproxy is listening on correct interface (0.0.0.0)

The guidance binds an intercepting proxy to 0.0.0.0 without requiring authentication or firewall restrictions. Other reachable hosts could abuse the proxy or access traffic.

中

SKILL.md:434

Hidden file access

rm -rf ~/.mitmproxy/

The troubleshooting command recursively deletes the entire mitmproxy home directory without backup or confirmation. It can destroy custom configuration, certificates, keys, and saved state.

低

assets/ci-config-template.yml:240

Hardcoded URL

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The URL selects a mutable branch-hosted installer and sends its response directly to Bash. Changed or compromised remote content would execute in CI.

リスク要因

⚙️ 外部コマンド (50)

🌐 ネットワークアクセス (39)

📁 ファイルシステムへのアクセス (9)

assets/ci-config-template.yml:323 assets/ci-config-template.yml:323 SKILL.md:260 SKILL.md:207 SKILL.md:431 SKILL.md:434 SKILL.md:207 SKILL.md:431 SKILL.md:434

🔑 環境変数 (23)

⚡ スクリプトを含む (2)

references/EXAMPLE.md:138 references/EXAMPLE.md:137

検出されたパターン

Pipe to shell patternRecursive delete on root/home

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/agentsecops-api-mitmproxy/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-api-mitmproxy/security.svg)](https://skillstore.io/skills/agentsecops-api-mitmproxy?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/agentsecops-api-mitmproxy?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-api-mitmproxy/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/agentsecops-api-mitmproxy.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

AgentSecOps. (2026). api-mitmproxy security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-api-mitmproxy/audits/9

BibTeX形式の引用

@techreport{agentsecops-agentsecops-api-mitmproxy-2026,
  author = {AgentSecOps},
  title = {api-mitmproxy security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/agentsecops-api-mitmproxy/audits/9},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "api-mitmproxy security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
  - name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-api-mitmproxy/audits/9"
identifiers:
  - type: other
    value: "skillstore:agentsecops-api-mitmproxy:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

100

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

APIリクエストを検査

許可されたweb APIテスト中に、リクエストヘッダー、トークン、パラメータ、レスポンスをキャプチャして確認します。

モバイルAPIトラフィックをデバッグ

mitmproxy経由でテストデバイスを設定し、制御されたラボでモバイルアプリのAPI挙動を文書化します。

回帰チェックを自動化

mitmdumpスクリプトと保存済みフローを使用して、CIワークフロー内で重点的なAPIセキュリティチェックを繰り返します。

これらのプロンプトを試す

安全なキャプチャを開始

許可されたローカルAPIテスト向けにmitmproxyをセットアップするのを手伝ってください。プロキシ設定、証明書手順、安全な保存に関するガイダンスを含めてください。

認証トラフィックをレビュー

キャプチャした認証トラフィックをレビューする手順を案内してください。トークン処理、再生リスク、認可チェック、編集に焦点を当ててください。

モバイルテストを計画

mitmproxyを使用したモバイルAPIテスト計画を作成してください。スコープ制御、証明書設定、ピンニング制約、証拠の取り扱いを含めてください。

自動化ワークフローを設計

mitmdumpベースのAPIセキュリティ回帰ワークフローを設計してください。キャプチャしたフローの取り扱い、addonの目標、失敗基準、データ保護を含めてください。

ベストプラクティス

書面による許可の対象となるシステムとトラフィックのみをテストします。
キャプチャを保存または共有する前に、トークン、Cookie、個人データ、シークレットを編集します。
リモートアクセスが必要で保護されている場合を除き、プロキシサービスはlocalhostにバインドします。

回避

明示的な承認なしに、本番環境またはサードパーティのトラフィックをインターセプトしないでください。
フローファイル、HARファイル、証明書、キャプチャした認証情報をソース管理にコミットしないでください。
認証とファイアウォール制御なしに、mitmwebまたはプロキシリスナーを公開ネットワークに公開しないでください。

よくある質問

このスキルは何に役立ちますか？

APIトラフィックの検査、変更、再生、レポート作成のために、許可されたmitmproxyワークフローを計画して実行するのに役立ちます。

HTTPS APIをテストできますか？

はい。制御された環境でHTTPSトラフィックを検査するために必要な証明書インストールとプロキシ設定を説明します。

これは本番トラフィックに適していますか？

明示的な認可、厳格なスコープ、安全な保存、プライバシー制御がある場合に限ります。ラボ環境とステージング環境の方が安全なデフォルトです。

自動化に関するガイダンスは含まれていますか？

はい。mitmdumpスクリプト、保存済みフロー、再生、HARエクスポート、CI向けテストパターンを扱います。

どのツールをインストールする必要がありますか？

ワークフローにはmitmproxyツールとaddonスクリプト用のPythonサポートが必要です。モバイルテストではデバイス固有のセットアップが必要になる場合があります。

キャプチャしたシークレットはどのように扱うべきですか？

キャプチャは機密データとして扱ってください。認証情報を編集し、アクセスを制限し、保存データを暗号化し、不要になったファイルを削除してください。

開発者情報

作成者

AgentSecOps

ライセンス

MIT

作者バージョン

v0.1.0

Skillstore リビジョン

リポジトリ

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/appsec/api-mitmproxy

参照

9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2

メンテナンスの新しさ

2026/7/25

利用状況

6 ダウンロード · 226 閲覧

ファイル構成

📁 assets/

📄 .gitkeep

📄 ci-config-template.yml

📄 rule-template.yaml

📁 references/

📄 EXAMPLE.md

📄 WORKFLOW_CHECKLIST.md

安全なバックエンドAPIの構築

作成者 sickn33

バックエンドチームには、一般的な脆弱性を防ぐ安全な実装が必要です。このスキルは、バリデーション、認証、APIの堅牢化、データベース保護、セキュリティレビューをガイドします。

セキュリティ＆コンプライアンス表示

api-mitmproxy

自分のエージェントでインストール

エージェントが読めるリソース

テストする

セキュリティ監査

確認済みのセキュリティ上の懸念 (5)

リスク要因

検出されたパターン

レポートリンクをコピー

Markdownバッジ

HTMLバッジ

埋め込みカード

APA形式の引用

BibTeX形式の引用

CITATION.cff

Skillstore スコア

作成できるもの

APIリクエストを検査

モバイルAPIトラフィックをデバッグ

回帰チェックを自動化

これらのプロンプトを試す

ベストプラクティス

回避

よくある質問

開発者情報

AgentSecOps のその他のスキル

pytm

container-hadolint

dast-nuclei

sast-semgrep

sca-trivy

dast-zap

関連スキル

senior-security

web-security-testing

global-validation

auth-handler

security-report

backend-security-coder