Volatility MCP Server

Volatility MCP Server

一个将 Volatility 3 内存取证框架与 Claude 及其他兼容 MCP 的大模型集成的 Model Context Protocol（MCP）服务。

这为何重要

在印度，由于人口众多且网络犯罪率不断上升，数字取证调查人员面临大量积压案件。此工具有助于应对这一挑战：

• 让调查人员能够使用简单的自然语言而非复杂命令分析内存转储
• 降低执行内存取证所需的技术专长
• 通过自动化加快分析进程
• 帮助清理积压案件，并更快地向司法系统交付结果

通过让内存取证更易于使用，此工具可以显著减轻取证专家的负担，并改善印度各地的网络安全响应。

概述

此项目通过 Model Context Protocol（MCP），将 Volatility 3 Framework 强大的内存取证能力与大语言模型（LLM）连接起来。它将 Volatility 插件作为 MCP 工具公开，供 Claude 或其他兼容 MCP 的大模型直接调用，从而让你能够使用自然语言执行内存取证分析。

功能

• 自然语言内存取证：使用自然语言让 Claude 分析内存转储
• 进程分析：检查正在运行的进程、父子关系和隐藏进程
• 网络取证：识别内存转储中的网络连接
• 恶意软件检测：查找潜在的代码注入和其他恶意痕迹
• DLL 分析：检查已加载的 DLL 和模块
• 文件对象：扫描内存中的文件对象
• 自定义插件：使用自定义参数运行任意 Volatility 插件
• 内存转储发现：自动查找目录中的内存转储

要求

• Python 3.10 或更高版本
• Volatility 3 Framework
• Claude Desktop 或其他兼容 MCP 的客户端
• MCP Python SDK（mcp 包）

安装

1. 克隆此仓库：

   git clone https://github.com/yourusername/volatility-mcp-server.git
   

2. 安装所需的 Python 包：

   pip install mcp httpx
   

3. 在脚本中配置 Volatility 路径：

   • 打开 volatility_mcp_server.py，并将 VOLATILITY_DIR 变量更新为指向你的 Volatility 3 安装路径。

4. 配置 Claude Desktop：

   • 打开位于以下位置的 Claude Desktop 配置文件：
     • Windows：%APPDATA%\Claude\claude_desktop_config.json
     • macOS：~/Library/Application Support/Claude/claude_desktop_config.json
   • 添加服务配置：

   {
     "mcpServers": {
       "volatility": {
         "command": "python",
         "args": [
           "/path/to/volatility_mcp_server.py"
         ],
         "env": {
           "PYTHONPATH": "/path/to/volatility3"
         }
       }
     }
   }
   

   • 将 /path/to/ 替换为你的文件的实际路径。

5. 重启 Claude Desktop 以应用更改。

使用方法

完成设置后，你可以直接用自然语言向 Claude 提问有关内存转储的问题：

• “列出位于 C:\path\to\dump.vmem 的内存转储中的所有进程”
• “显示 C:\path\to\dump.vmem 中的网络连接”
• “运行 malfind，检查内存转储中是否存在代码注入”
• “进程 ID 4328 加载了哪些 DLL？”
• “检查 C:\path\to\dump.vmem 中是否有隐藏进程”

可用工具

该服务将以下 Volatility 插件作为 MCP 工具公开：

1. list_available_plugins - 显示所有可用的 Volatility 插件
2. get_image_info - 提供内存转储文件的信息
3. run_pstree - 显示进程层级结构
4. run_pslist - 列出进程列表中的进程
5. run_psscan - 扫描进程，包括可能隐藏的进程
6. run_netscan - 显示内存转储中的网络连接
7. run_malfind - 检测潜在的代码注入
8. run_cmdline - 显示进程的命令行参数
9. run_dlllist - 列出进程已加载的 DLL
10. run_handles - 显示文件句柄和其他系统句柄
11. run_filescan - 扫描内存中的文件对象
12. run_memmap - 显示特定进程的内存映射
13. run_custom_plugin - 使用自定义参数运行任意 Volatility 插件
14. list_memory_dumps - 查找目录中的内存转储

内存取证工作流

此 MCP 服务可简化内存取证工作流：

1. 初步分诊：

   • “显示 memory.vmem 中的进程树”
   • “列出 memory.vmem 中的所有网络连接”

2. 可疑进程调查：

   • “进程 1234 启动时使用了什么命令行？”
   • “显示进程 1234 加载的所有 DLL”
   • “进程 1234 中打开了哪些文件句柄？”

3. 恶意软件搜寻：

   • “对 memory.vmem 运行 malfind，检查是否存在代码注入”
   • “显示父子关系异常的进程”
   • “查找 memory.vmem 中的隐藏进程”

故障排除

如果遇到问题：

1. 路径问题：

   • 确保所有路径都是绝对路径，并在 Windows 路径中使用双反斜杠
   • 检查内存转储文件是否存在且可读

2. 权限问题：

   • 以管理员身份运行 Claude Desktop
   • 检查 Python 和 Volatility 目录是否具有适当的权限

3. Volatility 错误：

   • 确保 Volatility 3 本身运行正常
   • 尝试直接在命令行中运行相同的命令

4. MCP 错误：

   • 检查 Claude Desktop 日志中是否有 MCP 错误
   • 确保已正确安装 MCP Python 包

扩展

可通过以下方式扩展此服务：

1. 添加更多 Volatility 插件
2. 创建自定义分析工作流
3. 与其他取证工具集成
4. 添加报告生成功能

许可证

MIT 许可证