Winforensics MCP

🚀 Windows取證MCP服務器

專為Linux環境設計的全面取證工具包，無需依賴任何Windows工具，可使用純Python庫原生解析Windows工件。

🚀 快速開始

本項目是一個專為Linux環境打造的Windows取證工具包，無需依賴Windows工具，使用純Python庫即可解析Windows工件。以下是快速上手的步驟：

安裝

前提條件

# 安裝uv（快速Python包管理器）
curl -LsSf https://astral.sh/uv/install.sh | sh
source ~/.bashrc

# 確保Python版本為3.10及以上
python3 --version

從PyPI安裝

uv tool install winforensics-mcp

從源代碼安裝

git clone https://github.com/x746b/winforensics-mcp.git
cd winforensics-mcp

# 使用uv安裝（推薦）
uv sync

# 或者安裝所有可選擴展
uv venv && source .venv/bin/activate
uv pip install -e ".[all]"

驗證安裝

uv run python -m winforensics_mcp.server
# 應能無錯誤啟動（按Ctrl+C退出）

添加到Claude CLI

從PyPI安裝

claude mcp add winforensics-mcp --scope user -- uv run winforensics-mcp

從源代碼安裝

claude mcp add winforensics-mcp \
  --scope user \
  -- uv run --directory /path/to/winforensics-mcp python -m winforensics_mcp.server

驗證添加

claude mcp list
# 應顯示winforensics-mcp

LLM集成（CLAUDE.md）

為了實現AI輔助取證分析，需將文件包含在案例目錄中。它具有以下優點：

• 以編排器為先的指導：確保大語言模型（LLM）在使用低級解析器之前先使用高級工具。
• 令牌效率：通過合理選擇工具，將API成本降低50%以上。
• 調查工作流程：提供逐步的方法，以實現一致的分析。

使用方法

將CLAUDE.md複製到案例目錄：

cp /path/to/winforensics-mcp/CLAUDE.md /your/case/directory/
# 編輯CLAUDE.md中的路徑以匹配你的案例

LLM將自動遵循以編排器為先的方法：

快速開始示例

此二進制文件是否被執行？

調查mimikatz.exe是否在/mnt/evidence系統上被執行

investigate_execution編排器會檢查預取、Amcache和SRUM：

{
  "target": "mimikatz.exe",
  "execution_confirmed": true,
  "confidence": "HIGH",
  "evidence": [
    {"source": "Prefetch", "finding": "執行3次，最後一次在2024-03-15T14:23:45Z"},
    {"source": "Amcache", "finding": "SHA1: abc123..., 首次出現時間: 2024-03-14T09:00:00Z"},
    {"source": "SRUM", "finding": "網絡: 發送15.2 MB; 前臺運行: 47秒"}
  ]
}

在所有工件中查找IOC

在/mnt/evidence中查找哈希值204bc44c651e17f65c95314e0b6dfee586b72089

hunt_ioc工具會搜索預取、Amcache、SRUM、MFT、USN、瀏覽器、EVTX，並可選擇進行YARA掃描：

{
  "ioc": "204bc44c651e17f65c95314e0b6dfee586b72089",
  "ioc_type": "sha1",
  "found": true,
  "sources_with_hits": ["Amcache", "MFT"],
  "findings": [
    {"source": "Amcache", "matches": 1, "details": "bloodhound.exe"},
    {"source": "MFT", "matches": 1, "details": "Users\\Admin\\Downloads\\bloodhound.exe"}
  ]
}

✨ 主要特性

核心取證功能

執行工件分析

文件系統工件分析

用戶活動分析

網絡取證

API監控捕獲分析

惡意軟件檢測

編排器

實用工具

📦 安裝指南

前提條件

# 安裝uv（快速Python包管理器）
curl -LsSf https://astral.sh/uv/install.sh | sh
source ~/.bashrc

# 確保Python版本為3.10及以上
python3 --version

從PyPI安裝

uv tool install winforensics-mcp

從源代碼安裝

git clone https://github.com/x746b/winforensics-mcp.git
cd winforensics-mcp

# 使用uv安裝（推薦）
uv sync

# 或者安裝所有可選擴展
uv venv && source .venv/bin/activate
uv pip install -e ".[all]"

驗證安裝

uv run python -m winforensics_mcp.server
# 應能無錯誤啟動（按Ctrl+C退出）

💻 使用示例

此二進制文件是否被執行？

調查mimikatz.exe是否在/mnt/evidence系統上被執行

investigate_execution編排器會檢查預取、Amcache和SRUM：

{
  "target": "mimikatz.exe",
  "execution_confirmed": true,
  "confidence": "HIGH",
  "evidence": [
    {"source": "Prefetch", "finding": "執行3次，最後一次在2024-03-15T14:23:45Z"},
    {"source": "Amcache", "finding": "SHA1: abc123..., 首次出現時間: 2024-03-14T09:00:00Z"},
    {"source": "SRUM", "finding": "網絡: 發送15.2 MB; 前臺運行: 47秒"}
  ]
}

在所有工件中查找IOC

在/mnt/evidence中查找哈希值204bc44c651e17f65c95314e0b6dfee586b72089

hunt_ioc工具會搜索預取、Amcache、SRUM、MFT、USN、瀏覽器、EVTX，並可選擇進行YARA掃描：

{
  "ioc": "204bc44c651e17f65c95314e0b6dfee586b72089",
  "ioc_type": "sha1",
  "found": true,
  "sources_with_hits": ["Amcache", "MFT"],
  "findings": [
    {"source": "Amcache", "matches": 1, "details": "bloodhound.exe"},
    {"source": "MFT", "matches": 1, "details": "Users\\Admin\\Downloads\\bloodhound.exe"}
  ]
}

📚 詳細文檔

工具參考

編排器（高級調查）

執行工件分析

惡意軟件檢測（YARA）

威脅情報（VirusTotal）

網絡取證（PCAP）

API監控捕獲分析（APMX）

加殼檢測（DiE）

文件系統

用戶活動

事件日誌

註冊表

實用工具

遠程收集

配置

VirusTotal API密鑰

# 選項1：環境變量
export VIRUSTOTAL_API_KEY="your-api-key-here"

# 選項2：配置文件
mkdir -p ~/.config/winforensics-mcp
echo "your-api-key-here" > ~/.config/winforensics-mcp/vt_api_key

你可以在virustotal.com獲取免費的API密鑰。免費層級的速率限制為每分鐘4次請求；客戶端會處理速率限制並將結果緩存24小時。

故障排除

DiE（Detect It Easy）未找到

# Debian/Ubuntu
sudo apt install detect-it-easy

# 或者從https://github.com/horsicq/DIE-engine/releases下載

移除MCP服務器

claude mcp remove winforensics-mcp --scope user

📄 許可證

本項目使用MIT許可證。感謝以下項目的貢獻：

• Rohitab Batra（API Monitor）
• Neo23x0/signature-base（YARA規則）
• horsicq/DIE-engine（Detect It Easy）

本項目為數字取證與事件響應（DFIR）社區而構建，無需Windows環境。

🔍 相關項目

• mem_forensics-mcp - 統一內存取證MCP服務器 - 結合Rust速度和Vol3覆蓋範圍的多層引擎
• mac_forensics-mcp - macOS數字取證 - 統一日誌、FSEvents、Spotlight、Plists、SQLite數據庫、擴展屬性