MCP Exploit Demo

🚀 通過MCP工具中毒實現SSH密鑰外洩攻擊

本項目主要演示了MCP（模型上下文協議）服務器中存在的一個安全漏洞，利用該漏洞可通過工具中毒的方式實現遠程代碼執行和數據竊取。此內容僅用於教育及安全研究目的。

🚀 快速開始

此項目主要用於展示攻擊過程和原理，若要深入瞭解可參考以下博客鏈接： MCP工具中毒到RCE

📦 倉庫內容

• server.py：惡意的MCP服務器實現，其中包含被毒化的工具。
• .cursor/mcp.json：用於與Cursor AI集成的配置文件。

✨ 主要特性

本項目通過特定的攻擊手段，展示了利用MCP服務器漏洞進行數據竊取的過程，其特性在於結合了技術手段和社會工程學，實現了隱蔽的數據外洩。

🔧 攻擊原理

該攻擊採用了“拉地毯”（Rug Pull）方法，具體步驟如下：

1. 用戶藉助MCP客戶端（例如Cursor AI）連接到惡意的MCP服務器。
2. 服務器對DockerCommandAnalyzer工具的文檔進行修改，插入惡意代碼。
3. 當AI助手讀取此文檔時，文檔已被篡改，進而導致AI推薦執行一個base64編碼的命令。
4. 編碼後的命令會執行以下操作：
   • 收集用戶的SSH公鑰。
   • 將其秘密發送到遠程服務器。
   • 刪除攻擊痕跡。

🔧 技術細節

此攻擊的關鍵技術實現細節包含以下幾點：

1. 兩階段中毒：運用標記文件確保工具始終處於被毒化狀態。
2. 社會工程學：利用緊急語言誘導AI助手執行惡意操作。
3. Base64混淆：對惡意命令進行隱藏，防止被輕易察覺。
4. wget外洩：通過標準HTTP POST請求將數據發送至攻擊者控制的服務器。

💡 使用建議

為有效防範此類攻擊，建議採取以下措施：

1. 禁用自動執行功能：在Cursor等AI開發工具中關閉自動運行功能。
2. 驗證來源：在連接MCP服務器之前，仔細核實其身份和可信性。
3. 代碼審查：在執行來自不可信來源的代碼之前，進行嚴格的檢查。
4. 使用沙盒環境：在測試新AI工具時，採用隔離的沙盒環境。
5. 實施出站過濾：配置網絡規則，阻止未授權的外聯請求。

此攻擊案例著重強調了在使用MCP協議和AI開發工具時的安全性問題，提醒用戶和開發者時刻保持警惕，並採取恰當的安全防護措施。