Volatility

🚀 Volatility MCP 服務器

本項目是一個將 Volatility 3 內存取證框架與 Claude 和其他 MCP 兼容的大語言模型 (LLM) 集成的 Model Context Protocol (MCP) 服務器。它能讓數字取證調查人員使用自然語言分析內存轉儲，降低技術門檻、加速分析流程，有效解決案件積壓問題。

🚀 快速開始

此項目通過 Model Context Protocol (MCP) 將 Volatility 3 內存取證框架與大語言模型連接起來，使用戶能夠以自然語言形式進行交互和分析。用戶可以通過自然語言查詢與 Claude 進行交互，例如“顯示 memory.vmem 中的進程樹結構”等。

✨ 主要特性

• 內存轉儲分析：支持對內存轉儲的全面分析。
• 進程樹可視化：自動生成進程樹視圖。
• 網絡連接檢測：識別內存中的網絡連接。
• 惡意軟件檢測：通過 malfind 等工具檢查代碼注入。
• 異常行為識別：分析不尋常的父子進程關係。
• 隱藏進程發現：發現隱藏在系統中的惡意進程。

📦 安裝指南

安裝要求

• Python 版本：需要 Python 3.8 或更高版本。
• Volatility 框架：必須安裝 Volatility 3。
• Claude 客戶端：需要安裝並配置 Claude Desktop。
• MCP SDK：安裝 MCP Python 包。

安裝步驟

1. 克隆代碼倉庫到本地目錄：

git clone https://github.com/yourusername/volatility-mcp.git

2. 安裝所需依賴項：

pip install volatility3 mcp-python

3. 配置 Volatility 環境變量：

export VOLATILITY_CONF_DIR=/path/to/configs

4. 在 Claude Desktop 中配置 MCP 服務：

{
  "mcp": {
    "servers": [
      {
        "name": "volatility-server",
        "host": "localhost",
        "port": 5005,
        "username": "your-username",
        "password": "your-password"
      }
    ]
  }
}

💻 使用示例

用戶可以通過以下示例查詢與 Claude 進行交互：

基礎用法

• 初始排查：
  • "顯示 memory.vmem 中的進程樹結構"
  • "列出 memory.vmem 中的所有網絡連接"

高級用法

• 可疑進程調查：
  • "進程 1234 的啟動命令是什麼？"
  • "顯示進程 1234 加載的所有 DLL"
  • "進程 1234 打開了哪些文件句柄？"
• 惡意軟件狩獵：
  • "在 memory.vmem 上運行 malfind 檢查代碼注入"
  • "顯示具有異常父子關係的進程"
  • "查找 memory.vmem 中的隱藏進程"

📚 詳細文檔

這為何重要

在印度，數字取證調查人員因國家人口眾多和網絡犯罪率上升而面臨案件積壓的巨大挑戰。此工具通過以下方式解決這一問題：

• 允許調查人員使用簡單的自然語言而非複雜命令分析內存轉儲。
• 減少執行內存取證所需的專門技術知識。
• 通過自動化加速分析流程。
• 幫助 clearing 案件積壓，提高調查效率。

擴展性

此服務器可擴展為：

1. 添加更多 Volatility 插件。
2. 創建自定義分析工作流程。
3. 集成其他取證工具。
4. 實現報告生成功能。

故障排除

1. 路徑問題：

• 確保所有路徑均為絕對路徑。
• 使用雙反斜槓表示 Windows 路徑。

2. 權限問題：

• 以管理員身份運行 Claude Desktop。
• 檢查 Python 和 Volatility 目錄的權限設置。

3. Volatility 錯誤：

• 確保 Volatility 3 單獨正常運行。
• 嘗試在命令行中運行相同命令。

4. MCP 錯誤：

• 檢查 Claude Desktop 的日誌文件。
• 確認 MCP Python 包正確安裝。

📄 許可證

MIT License