Ohey

Ohey MCP 服务

Ohey 会扫描网站中注入的恶意软件：ClickFix 和虚假更新诱饵、窃取器、钓鱼工具包、EtherHiding 加载器，以及其背后的 C2 和分发服务器。共有两个远程 MCP 服务（Streamable HTTP）。

服务	URL	登录方式
研究	https://ohey.ca/mcp/research	无
信息源和 API	https://ohey.ca/mcp	拥有 API 访问权限的 Ohey 账户

安装

这两个都是远程 Streamable HTTP 服务，无需下载任何内容。以下示例添加的是研究服务；对于信息源服务，请使用名称 ohey 和 URL https://ohey.ca/mcp，客户端首次连接时会打开 ohey.ca 供你登录。

这两个服务都已收录在 MCP Registry 中，名称分别为 ca.ohey/research 和 ca.ohey/ohey。

Claude

Web、桌面和移动版：依次打开 Settings、Connectors、Add custom connector，然后粘贴 URL。

Claude Code：

claude mcp add --transport http ohey-research https://ohey.ca/mcp/research

ChatGPT

自定义 MCP 服务需要启用开发者模式。OpenAI 仅在部分套餐中提供此功能，并且调整过相关设置页面的位置；可能需要由 Business 或 Enterprise 管理员先允许使用自定义连接器。

1. 在 ChatGPT 设置中启用开发者模式。
2. 添加自定义连接器（或应用），为其命名并粘贴 URL。
3. 对于研究服务，将 Authentication 设为 No authentication；对于信息源服务，设为 OAuth。
4. 在新聊天中，从工具菜单启用连接器。

OpenAI Codex

codex mcp add ohey-research --url https://ohey.ca/mcp/research

对于信息源服务，使用 --url https://ohey.ca/mcp 添加，然后运行 codex mcp login ohey 登录。或者在 ~/.codex/config.toml 中添加：

[mcp_servers.ohey-research]
url = "https://ohey.ca/mcp/research"

Gemini CLI

gemini mcp add --transport http ohey-research https://ohey.ca/mcp/research

或者在 settings.json 的 mcpServers 下添加：

"ohey-research": { "httpUrl": "https://ohey.ca/mcp/research" }

对于信息源服务，在 CLI 中运行 /mcp auth ohey 登录。

Cursor

在 ~/.cursor/mcp.json 中，或在项目的 .cursor/mcp.json 中：

{
  "mcpServers": {
    "ohey-research": { "url": "https://ohey.ca/mcp/research" }
  }
}

VS Code（GitHub Copilot）

code --add-mcp '{"name":"ohey-research","type":"http","url":"https://ohey.ca/mcp/research"}'

或者运行 MCP: Add Server，选择 HTTP 并粘贴 URL。JSON 配置可放在 .vscode/mcp.json 或用户级 mcp.json 中：

{
  "servers": {
    "ohey-research": { "type": "http", "url": "https://ohey.ca/mcp/research" }
  }
}

其他客户端

任何支持通过 Streamable HTTP 连接远程 MCP 服务的客户端，都可以直接使用该 URL。大多数客户端会读取带有 url 的 mcpServers 对象（有些客户端将该字段称为 serverUrl 或 httpUrl）。仅能运行本地 stdio 服务的客户端，可通过 mcp-remote 连接任一服务：

{
  "mcpServers": {
    "ohey-research": { "command": "npx", "args": ["-y", "mcp-remote", "https://ohey.ca/mcp/research"] }
  }
}

研究服务

Ohey 将发布在 ohey.ca/threats 和 ohey.ca/research 上的研究内容提供为工具。任何人都可以 连接，无需登录。

工具	功能
list_threats	所有技术，包括其页面、摘要、站点数量和工具包。
get_threat	一种技术或工具包：按月匹配的站点、重新扫描时仍受感染的站点数量、WordPress 和 Joomla 占比、常见插件、在相同站点上发现的工具包、其 EtherHiding 合约、其 ClickFix 命令主机以及相关文章。
list_research_articles	研究文章，按时间从新到旧排列。
get_article	一篇文章的摘要、关键事实（哈希值、活动时间段、规模）及其入侵指标，以 Markdown 格式提供。
search_clickfix_commands	ClickFix 诱饵命令从哪些主机获取内容，可按工具包或主机筛选，并列出每个主机的最新命令（已解除武装）。
search_etherhiding_contracts	受感染站点从哪些合约读取下一阶段内容，可按工具包、链或目标主机筛选。
get_etherhiding_contract	一个合约随时间变化的目标。
get_feed_stats	Feed 大小、上周新增和移除的内容，以及捕获归档。

数量每日根据 Ohey 的扫描结果更新。两个搜索工具都支持使用 offset 翻过 limit 条结果，也支持使用 sort: "firstSeen" 按时间从新到旧排列。主机搜索未找到结果时会返回一条 coverage 说明：追踪器只列出合约目标和命令主机，因此未找到意味着“未追踪”，而非“安全”。将任何主机与完整 Feed 核对是 Feed 服务的工作。

主机和命令属于活动中的恶意软件基础设施。它们会以解除武装的形式提供 （[.]、hxxp），包含命令的结果会附带一条面向阅读者的 notice。只能在隔离的研究环境中还原或运行它们。请参阅条款。

Feed 和 API 服务

将 Ohey 的 API 作为工具使用：查询任意主机、搜索 Feed、读取 CVE 和扫描 URL。你使用 Ohey 账户登录，因此无需复制 API 密钥。请通过 ohey.ca/contact 申请具有 API 访问权限的账户。

连接方式与研究服务相同，URL 为 https://ohey.ca/mcp（安装）。登录后会打开 ohey.ca；在该网站批准连接后，客户端即可获得访问权限。客户端会根据服务的 OAuth 元数据自行注册，因此无需设置客户端 ID。

工具

工具	功能
search_indicators	Feed 中的主机，可按标签或家族筛选，并包含角色、家族、标签以及每个条目被纳入的原因。
get_host	主机的 Feed 条目、其最新捕获中发现的易受攻击软件、捕获摘要和 DNS 记录。
get_host_captures	扫描器每次加载该主机的记录：时间、返回内容以及匹配项。
list_delisted	经审核后从 Feed 中排除或移除的主机，以及移除原因和决定者。
get_vulnerability	一个 CVE 及其 NVD、EPSS、KEV、GitHub 和 OSV 数据。
list_vulnerabilities	按顺序列出已发布的 CVE，或仅列出 WordPress 插件、主题和核心 CVE。
start_scan	在 Ohey 扫描器中加载一个 URL，并记录发现的内容。
get_scan	扫描结果：页面是否为恶意页面、匹配项、页面试图植入的命令和剪贴板写入，以及疑似 C2。

只有在批准时勾选“扫描 URL”，扫描工具才会显示。扫描次数会计入你的账户。

访问权限和撤销

批准客户端后，会在Ohey 门户的 Account 下创建一个以该客户端命名的 API 密钥。工具调用受速率限制，并像任何 API 请求一样计入该密钥。撤销该密钥即可断开客户端连接。

完整 API（包括每个响应字段）请参阅 ohey.ca/docs。

安全

请将安全问题报告至 [email protected]。请参阅 security.txt。