Winforensics MCP

🚀 Windows取证MCP服务器

专为Linux环境设计的全面取证工具包，无需依赖任何Windows工具，可使用纯Python库原生解析Windows工件。

🚀 快速开始

本项目是一个专为Linux环境打造的Windows取证工具包，无需依赖Windows工具，使用纯Python库即可解析Windows工件。以下是快速上手的步骤：

安装

前提条件

# 安装uv（快速Python包管理器）
curl -LsSf https://astral.sh/uv/install.sh | sh
source ~/.bashrc

# 确保Python版本为3.10及以上
python3 --version

从PyPI安装

uv tool install winforensics-mcp

从源代码安装

git clone https://github.com/x746b/winforensics-mcp.git
cd winforensics-mcp

# 使用uv安装（推荐）
uv sync

# 或者安装所有可选扩展
uv venv && source .venv/bin/activate
uv pip install -e ".[all]"

验证安装

uv run python -m winforensics_mcp.server
# 应能无错误启动（按Ctrl+C退出）

添加到Claude CLI

从PyPI安装

claude mcp add winforensics-mcp --scope user -- uv run winforensics-mcp

从源代码安装

claude mcp add winforensics-mcp \
  --scope user \
  -- uv run --directory /path/to/winforensics-mcp python -m winforensics_mcp.server

验证添加

claude mcp list
# 应显示winforensics-mcp

LLM集成（CLAUDE.md）

为了实现AI辅助取证分析，需将文件包含在案例目录中。它具有以下优点：

• 以编排器为先的指导：确保大语言模型（LLM）在使用低级解析器之前先使用高级工具。
• 令牌效率：通过合理选择工具，将API成本降低50%以上。
• 调查工作流程：提供逐步的方法，以实现一致的分析。

使用方法

将CLAUDE.md复制到案例目录：

cp /path/to/winforensics-mcp/CLAUDE.md /your/case/directory/
# 编辑CLAUDE.md中的路径以匹配你的案例

LLM将自动遵循以编排器为先的方法：

快速开始示例

此二进制文件是否被执行？

调查mimikatz.exe是否在/mnt/evidence系统上被执行

investigate_execution编排器会检查预取、Amcache和SRUM：

{
  "target": "mimikatz.exe",
  "execution_confirmed": true,
  "confidence": "HIGH",
  "evidence": [
    {"source": "Prefetch", "finding": "执行3次，最后一次在2024-03-15T14:23:45Z"},
    {"source": "Amcache", "finding": "SHA1: abc123..., 首次出现时间: 2024-03-14T09:00:00Z"},
    {"source": "SRUM", "finding": "网络: 发送15.2 MB; 前台运行: 47秒"}
  ]
}

在所有工件中查找IOC

在/mnt/evidence中查找哈希值204bc44c651e17f65c95314e0b6dfee586b72089

hunt_ioc工具会搜索预取、Amcache、SRUM、MFT、USN、浏览器、EVTX，并可选择进行YARA扫描：

{
  "ioc": "204bc44c651e17f65c95314e0b6dfee586b72089",
  "ioc_type": "sha1",
  "found": true,
  "sources_with_hits": ["Amcache", "MFT"],
  "findings": [
    {"source": "Amcache", "matches": 1, "details": "bloodhound.exe"},
    {"source": "MFT", "matches": 1, "details": "Users\\Admin\\Downloads\\bloodhound.exe"}
  ]
}

✨ 主要特性

核心取证功能

执行工件分析

文件系统工件分析

用户活动分析

网络取证

API监控捕获分析

恶意软件检测

编排器

实用工具

📦 安装指南

前提条件

# 安装uv（快速Python包管理器）
curl -LsSf https://astral.sh/uv/install.sh | sh
source ~/.bashrc

# 确保Python版本为3.10及以上
python3 --version

从PyPI安装

uv tool install winforensics-mcp

从源代码安装

git clone https://github.com/x746b/winforensics-mcp.git
cd winforensics-mcp

# 使用uv安装（推荐）
uv sync

# 或者安装所有可选扩展
uv venv && source .venv/bin/activate
uv pip install -e ".[all]"

验证安装

uv run python -m winforensics_mcp.server
# 应能无错误启动（按Ctrl+C退出）

💻 使用示例

此二进制文件是否被执行？

调查mimikatz.exe是否在/mnt/evidence系统上被执行

investigate_execution编排器会检查预取、Amcache和SRUM：

{
  "target": "mimikatz.exe",
  "execution_confirmed": true,
  "confidence": "HIGH",
  "evidence": [
    {"source": "Prefetch", "finding": "执行3次，最后一次在2024-03-15T14:23:45Z"},
    {"source": "Amcache", "finding": "SHA1: abc123..., 首次出现时间: 2024-03-14T09:00:00Z"},
    {"source": "SRUM", "finding": "网络: 发送15.2 MB; 前台运行: 47秒"}
  ]
}

在所有工件中查找IOC

在/mnt/evidence中查找哈希值204bc44c651e17f65c95314e0b6dfee586b72089

hunt_ioc工具会搜索预取、Amcache、SRUM、MFT、USN、浏览器、EVTX，并可选择进行YARA扫描：

{
  "ioc": "204bc44c651e17f65c95314e0b6dfee586b72089",
  "ioc_type": "sha1",
  "found": true,
  "sources_with_hits": ["Amcache", "MFT"],
  "findings": [
    {"source": "Amcache", "matches": 1, "details": "bloodhound.exe"},
    {"source": "MFT", "matches": 1, "details": "Users\\Admin\\Downloads\\bloodhound.exe"}
  ]
}

📚 详细文档

工具参考

编排器（高级调查）

执行工件分析

恶意软件检测（YARA）

威胁情报（VirusTotal）

网络取证（PCAP）

API监控捕获分析（APMX）

加壳检测（DiE）

文件系统

用户活动

事件日志

注册表

实用工具

远程收集

配置

VirusTotal API密钥

# 选项1：环境变量
export VIRUSTOTAL_API_KEY="your-api-key-here"

# 选项2：配置文件
mkdir -p ~/.config/winforensics-mcp
echo "your-api-key-here" > ~/.config/winforensics-mcp/vt_api_key

你可以在virustotal.com获取免费的API密钥。免费层级的速率限制为每分钟4次请求；客户端会处理速率限制并将结果缓存24小时。

故障排除

DiE（Detect It Easy）未找到

# Debian/Ubuntu
sudo apt install detect-it-easy

# 或者从https://github.com/horsicq/DIE-engine/releases下载

移除MCP服务器

claude mcp remove winforensics-mcp --scope user

📄 许可证

本项目使用MIT许可证。感谢以下项目的贡献：

• Rohitab Batra（API Monitor）
• Neo23x0/signature-base（YARA规则）
• horsicq/DIE-engine（Detect It Easy）

本项目为数字取证与事件响应（DFIR）社区而构建，无需Windows环境。

🔍 相关项目

• mem_forensics-mcp - 统一内存取证MCP服务器 - 结合Rust速度和Vol3覆盖范围的多层引擎
• mac_forensics-mcp - macOS数字取证 - 统一日志、FSEvents、Spotlight、Plists、SQLite数据库、扩展属性