JoeSandboxMCP

Joe Sandbox MCP 服务

用于与 Joe Sandbox Cloud 交互的模型上下文协议（MCP）服务。
此服务提供 Joe Sandbox 强大的分析和 IOC 提取功能，并可无缝集成到任何兼容 MCP 的应用中（例如 Claude Desktop、Glama 或自定义大模型 Agent）。

功能

• 灵活提交：提交本地文件、远程 URL、网站或命令行进行动态分析。
• IOC 提取：获取被释放文件、IP、域名和 URL 的失陷指标。
• 特征检测：从沙箱特征中获取并提取可采取行动的证据。
• 进程树：可视化完整的执行层级，包括命令行和父子关系。
• 解包的 PE 文件：下载执行期间提取的内存解包二进制文件，通常可揭示运行时载荷。
• PCAP 下载：获取分析期间记录的完整网络流量捕获（PCAP），以供离线检查。
• 适用于大模型的响应：所有结果均采用结构化格式，便于大模型清晰地处理，并包含截断和相关筛选。

快速开始

通过 uv 安装（推荐）

1. 克隆代码库：

   git clone https://github.com/joesecurity/joesandboxMCP.git
   cd joesandboxMCP
   

2. 使用 uv 安装依赖：

   uv venv
   uv pip install -e .
   

3. 启动 MCP 服务（参见下方配置）

---

示例配置

{
  "mcpServers": {
    "JoeSandbox": {
      "command": "uv",
      "args": [
        "--directory",
        "/absolute/path/to/joesandboxMCP",
        "run",
        "main.py"
      ],
      "env": {
        "JBXAPIKEY": "your-jbxcloud-apikey",
        "ACCEPTTAC": "SET_TRUE_IF_YOU_ACCEPT"
      }
    }
  }
}

法律声明

将此集成与 Joe Sandbox Cloud 配合使用，须接受 Joe Security 条款和条件。

设置环境变量 ACCEPTTAC=TRUE，即表示你明确确认已阅读并接受条款和条件。

---

可用工具

Joe Sandbox MCP 服务提供多种工具，帮助你与沙箱报告交互、监控执行情况，并以便于大模型理解的格式提取威胁情报。

1. 提交分析

提交文件、URL、网站或命令行进行沙箱分析。
你可以选择等待结果，或立即返回并稍后查看。
支持多种选项，例如互联网访问、脚本日志记录和压缩包密码。

2. 搜索以往分析

使用哈希、文件名、检测状态、威胁名称等信息查找历史提交。
快速确认某项内容是否已分析过。

3. 检查提交状态

获取先前提交样本的当前状态和关键元数据。
包括检测结论、使用的系统和分析评分。

4. AI 摘要

获取由沙箱 AI 生成的高层级推理说明。
有助于用通俗语言理解复杂行为。

5. 恶意释放文件

查看执行期间释放并标记为恶意的文件。
包括哈希值、文件名、来源进程和检测指标。

6–8. 网络指标

显示分析期间访问的域名、IP 地址或 URL。
可进行筛选，仅关注明确恶意的项目或高置信度检测结果。
包括 IP 解析、地理位置提示、通信上下文和检测证据等详细信息。

9. 行为检测（特征）

获取执行期间触发的关键行为检测摘要。
可进行筛选，仅关注影响较大的项目。

10. 进程树

可视化执行期间运行的完整进程层级。
显示父子关系、命令行和终止信息。

11. 解包后的二进制文件

获取在内存中解包或解密的可执行文件。
有助于识别原始文件中不可见的载荷。

12. 网络流量（PCAP）

下载分析期间记录的完整网络数据包捕获。
可用于检查流量、C2 回连，或提取域名和 IP。

13. 最近活动

列出你最近提交的沙盒任务，查看它们运行的系统、得分情况以及返回的判定结果。

14. 内存转储

获取运行期间捕获的原始内存转储。

15. 被释放的文件

获取分析期间释放的所有文件。

---

许可证

本项目采用 MIT License 许可。