Ez Tools Mcp Server

Name: Ez Tools Mcp Server
Author: heejung0

本地服务

github.com/heejung0安全146 周前更新

代码仓库

关于 Ez Tools Mcp Server

EZ Tools MCP Server 通过 MCP 服务开放 Eric Zimmerman's Tools，用于 Windows 取证分析。它面向需要分析 Prefetch、EventLog 和 Registry 痕迹的调查人员，且只能在 Windows 环境使用。

主要功能

01检查 Eric Zimmerman's Tools 安装状态
02解析 Prefetch 文件和目录
03解析 EventLog 文件和目录
04使用批处理文件分析 Registry hive
05列出 RECmd 批处理文件

适用场景

01分析文件或目录中的 Prefetch 痕迹
02检查 Windows EventLog 痕迹
03使用 RECmd 批处理文件分析 Registry hive

MCP 相关

该 MCP 服务向 Cursor 和 Claude Desktop 等客户端提供健康检查及取证解析工具，涵盖 Prefetch、EventLog 和 Registry 痕迹。

#windows #forensic

配置

本地服务的配置在各客户端中通用，复制后粘贴到客户端的 MCP 配置文件即可。

暂未收录安装方式

我们还没有获取到这个服务的安装包或远程地址，请按项目 README 中的说明安装。

代码仓库

工具

还没有获取到工具列表

本地服务需要在你的电脑上运行后才能读取工具，维护者暂未提供工具列表。

详细介绍

EZ-Tools-MCP-Server

EZ Tools MCP Server 将 Eric Zimmerman's Tools 提供的工具作为 Model Context Protocol (MCP) 服务公开。借此，您可以在 Cursor、Claude Desktop 等 MCP 客户端中分析 Windows Artifact（Prefetch、EventLog、Registry）。(由于 Eric Zimmerman's Tool 的特性，仅可在 Windows 环境中使用。)

工具

ez_tools_healthcheck：检查 Eric Zimmerman's Tools 二进制文件的安装状态
prefetch_dir_parser：分析包含 Prefetch 文件的文件夹
prefetch_file_parser：分析 Prefetch 文件
eventlog_dir_parser：分析包含 Windows Eventlog 文件的文件夹
eventlog_file_parser：分析 Windows Eventlog 文件
registry_total_parser：使用 DFIRBatch.reb 批处理文件分析整个 Registy 配置单元
registry_plugin_parser：单独分析特定的批处理文件或配置单元文件
list_batches：查询 RECmd BatchExamples 文件夹中的批处理文件列表

安装

1. 准备 Python 环境

git clone https://github.com/heejung0/EZ-tools-mcp-server.git
cd EZ-tools-mcp-server
python -m venv .venv
source .venv/bin/activate
pip install -r requirements.txt

2. 安装 Eric Zimmerman's Tools

PECmd：https://download.ericzimmermanstools.com/net9/PECmd.zip
EvtxECmd：https://download.ericzimmermanstools.com/net9/EvtxECmd.zip
RECmd：https://download.ericzimmermanstools.com/net9/RECmd.zip

3. 连接 MCP 客户端

Windows

{
  "mcpServers": {
    "ez-tools-MCP": {
      "command": "/path/to/.venv/Scripts/python",
      "args": [
        "/path/to/EZ_tools_mcp_server.py"
      ],
      "env": {
        "PECMD_EXE": "/path/to/PECmd.exe",
        "EVTX_EXE": "/path/to/EvtxECmd.exe",
        "RECMD_EXE": "/path/to/RECmd.exe"
      }
    }
  }
}

支持 Markdown

登录后评论