Volatility3 MCP

🚀 Volatility3 MCP 服務器

Volatility3 MCP 服務器是一款強大的工具，它將 MCP 客戶端（如 Claude Desktop）與高級內存取證框架 Volatility3 相連接。藉助該工具，通過簡單的對話式界面，LLM 就能分析內存轉儲、檢測惡意軟件並執行復雜的內存取證任務，極大地提升了內存取證的效率和便捷性。

🚀 快速開始

配置步驟

1. 克隆此倉庫。
2. 創建虛擬環境：

   python -m venv environ
   source environ/bin/activate
   

3. 安裝所需的依賴項：

   pip install -r requirements.txt
   

使用方式

您可以通過兩種方式使用此項目：

選項 1：與 Claude Desktop 一起使用

4. 配置 Claude Desktop：
   • 轉到 Claude -> 設置 -> 開發者 -> 編輯配置 -> claude_desktop_config.json，並添加以下內容

        {
            "mcpServers": {
            "volatility3": {
                "command": "絕對路徑/to/virtual/environment/bin/python3",
                "args": [
                "絕對路徑/to/bridge_mcp_volatility.py"
                ]
            }
            }
        }
     

5. 重啟 Claude Desktop 並開始分析內存轉儲。

選項 2：與 Cursor（SSE 服務器）一起使用

4. 啟動 SSE 服務器：

   python3 start_sse_server.py
   

5. 配置 Cursor 以使用 SSE 服務器：
   • 打開 Cursor 設置
   • 導航到 功能 -> MCP 服務器
   • 添加一個新的 MCP 服務器，其 URL 為 http://127.0.0.1:8080/sse
6. 使用 Cursor Composer 的代理模式並開始分析內存轉儲。

✨ 主要特性

• 內存轉儲分析：使用各種插件分析 Windows 和 Linux 內存轉儲。
• 進程檢查：列出運行中的進程，查看其詳細信息並識別可疑活動。
• 網絡分析：檢查網絡連接以發現命令與控制服務器。
• 跨平臺支持：支持 Windows 和 Linux 內存轉儲（macOS 即將推出）。
• 惡意軟件檢測：使用 YARA 規則對內存進行掃描以識別已知惡意軟件簽名。

📚 詳細文檔

解決的問題

內存取證是一個複雜且通常需要專業知識和命令行技能的領域。此項目解決了以下問題：

• 允許非專家通過自然語言進行內存分析。
• 使 LLM 能夠直接分析內存轉儲並提供見解。
• 自動化通常需要多個手動步驟的常見取證工作流程。
• 提高內存取證的易用性和可訪問性。

演示

演示視頻

您也可以在此處找到一個關於此工具的詳細演示。

可用工具

• initialize_memory_file：設置用於分析的內存文件。
• detect_os：識別內存轉儲的操作系統。
• list_plugins：顯示所有可用的 Volatility3 插件。
• get_plugin_info：獲取特定插件的詳細信息。
• run_plugin：使用自定義參數執行任何 Volatility3 插件。
• get_processes：列出內存轉儲中的所有運行進程。
• get_network_connections：查看系統的所有網絡連接。
• list_process_open_handles：檢查進程打開的句柄和訪問的文件等資源。
• scan_with_yara：使用 YARA 規則對內存進行惡意模式掃描。

🤝 貢獻

歡迎任何貢獻！請隨意提交 Pull Request。