MCP Exploit Demo

🚀 通过MCP工具中毒实现SSH密钥外泄攻击

本项目聚焦于MCP（模型上下文协议）服务器存在的安全漏洞，展示了攻击者如何借助工具中毒手段，实现远程代码执行并窃取数据。需强调的是，此内容仅用于教育及安全研究目的。

🚀 快速开始

本项目主要用于安全研究展示，暂不涉及实际的安装使用步骤。你可通过阅读项目内容，了解攻击原理和技术细节。

✨ 主要特性

• 演示了通过MCP工具中毒实现SSH密钥外泄的攻击过程。
• 详细阐述了“拉地毯”（Rug Pull）攻击方法。
• 提供了恶意MCP服务器的实现代码及配置文件。

📦 安装指南

本项目无具体安装步骤，若你想研究代码，可按以下步骤操作：

1. 克隆此仓库：

git clone <仓库地址>

2. 查看相关文件：
   • server.py：恶意的MCP服务器实现，包含被毒化的工具。
   • .cursor/mcp.json：用于与Cursor AI集成的配置文件。

💻 使用示例

本项目主要是研究性质，不建议实际运行。以下是简单的代码查看示例：

基础用法

查看恶意MCP服务器代码：

# 打开server.py文件查看代码
# 此代码包含被毒化的工具
with open('server.py', 'r') as f:
    print(f.read())

📚 详细文档

博客链接

MCP工具中毒到RCE 通过此博客链接，你可以获取更多关于MCP工具中毒到RCE的详细信息。

仓库内容

• server.py：恶意的MCP服务器实现，包含被毒化的工具。
• .cursor/mcp.json：用于与Cursor AI集成的配置文件。

攻击原理

该攻击采用“拉地毯”（Rug Pull）方法，具体步骤如下：

1. 用户通过MCP客户端（如Cursor AI）连接到恶意的MCP服务器。
2. 服务器修改了DockerCommandAnalyzer工具的文档，插入了恶意代码。
3. 当AI助手读取此文档时，文档被篡改，导致AI推荐执行一个base64编码的命令。
4. 编码后的命令会：
   • 收集用户的SSH公钥。
   • 将其秘密发送到远程服务器。
   • 删除攻击痕迹。

🔧 技术细节

该攻击的关键点如下：

1. 两阶段中毒：使用标记文件确保工具保持被毒化状态。
2. 社会工程学：利用紧急语言操纵AI助手执行恶意操作。
3. Base64混淆：隐藏恶意命令，避免被轻易发现。
4. wget外泄：通过标准HTTP POST请求将数据发送到攻击者控制的服务器。

💡 使用建议

为防范此类攻击，请采取以下措施：

1. 禁用自动执行功能：在Cursor等AI开发工具中关闭自动运行功能。
2. 验证来源：在连接MCP服务器前，核实其身份和可信性。
3. 代码审查：在执行前检查来自不可信来源的代码。
4. 使用沙盒环境：在测试新AI工具时，使用隔离的沙盒环境。
5. 实施出站过滤：配置网络规则以阻止未授权的外联请求。

此攻击案例强调了在使用MCP协议和AI开发工具时的重要性，提醒用户和开发者保持警惕，并采取适当的安全防护措施。