Volatility3 MCP 服务器

简介

Volatility3 MCP Server 是一个强大的工具，它将MCP客户端（如Claude Desktop）与Volatility3连接起来，后者是一个高级的内存取证框架。这种集成使LLM能够分析内存转储、检测恶意软件并执行复杂的内存取证任务，通过简单的对话式界面实现。

解决的问题

内存取证是一个复杂且通常需要专业知识和命令行技能的领域。此项目解决了以下问题：

• 允许非专家通过自然语言进行内存分析
• 使LLM能够直接分析内存转储并提供见解
• 自动化通常需要多个手动步骤的常见取证工作流程
• 提高内存取证的易用性和可访问性

特性

• 内存转储分析：使用各种插件分析Windows和Linux内存转储
• 进程检查：列出运行中的进程，查看其详细信息并识别可疑活动
• 网络分析：检查网络连接以发现命令与控制服务器
• 跨平台支持：支持Windows和Linux内存转储（macOS即将推出）
• 恶意软件检测：使用YARA规则对内存进行扫描以识别已知恶意软件签名

演示

演示视频

您也可以在此处找到一个关于此工具的详细演示。

配置

1. 克隆此仓库：
2. 创建虚拟环境：

   python -m venv environ
   source environ/bin/activate
   

3. 安装所需的依赖项：

   pip install -r requirements.txt
   

您可以通过两种方式使用此项目：

选项1：与Claude Desktop一起使用

4. 配置Claude Desktop：
   • 转到 Claude -> 设置 -> 开发者 -> 编辑配置 -> claude_desktop_config.json，并添加以下内容

        {
            "mcpServers": {
            "volatility3": {
                "command": "绝对路径/to/virtual/environment/bin/python3",
                "args": [
                "绝对路径/to/bridge_mcp_volatility.py"
                ]
            }
            }
        }
     

     
5. 重启Claude Desktop并开始分析内存转储。

选项2：与Cursor（SSE服务器）一起使用

4. 启动SSE服务器：

   python3 start_sse_server.py
   

5. 配置Cursor以使用SSE服务器：
   • 打开Cursor设置
   • 导航到 功能 -> MCP服务器
   • 添加一个新的MCP服务器，其URL为 http://127.0.0.1:8080/sse
6. 使用Cursor Composer的代理模式并开始分析内存转储。

可用工具

• initialize_memory_file：设置用于分析的内存文件
• detect_os：识别内存转储的操作系统
• list_plugins：显示所有可用的Volatility3插件
• get_plugin_info：获取特定插件的详细信息
• run_plugin：使用自定义参数执行任何Volatility3插件
• get_processes：列出内存转储中的所有运行进程
• get_network_connections：查看系统的所有网络连接
• list_process_open_handles：检查进程打开的句柄和访问的文件等资源
• scan_with_yara：使用YARA规则对内存进行恶意模式扫描

贡献

欢迎任何贡献！请随意提交Pull Request。