The Sleuth Kit Mcp Server

The Sleuth Kit MCP Server

The Sleuth Kit MCP 服务以 Model Context Protocol (MCP) 服务的形式提供 Sleuth Kit CLI 工具（mmstat、mmls、fls、ifind、icat）。这样，您就可以在 Cursor、Claude Desktop 等 MCP 客户端中分析**文件系统映像（E01、RAW、VMDK 等）**并提取文件。

工具

• sleuthkit_healthcheck：检查 Sleuth Kit 二进制文件的安装状态
• disk_info：使用 file 命令和 mmstat 查看磁盘映像文件信息
• disk_partition_info：使用 mmls 分析磁盘分区信息
• search_inode_by_path：使用 ifind，以主分区偏移量为基准，通过直接路径查找来确认相应文件夹的 inode 编号
• files_in_directory：使用 fls 查看文件夹内容
• extract_files_by_inode：使用 icat，根据 inode 编号提取文件
• extract_directory_tree_by_inode：使用 icat，根据 inode 编号提取文件，同时保留原始路径结构
• istat_metadata：使用 istat，查看磁盘映像中基于 inode 的文件元信息

安装

1. 准备 Python 环境

git clone https://github.com/heejung0/sleuthkit-mcp-server.git
cd sleuthkit-mcp-server
python -m venv .venv
source .venv/bin/activate
pip install -r requirements.txt

• Windows 还需安装 python-magic-bin

2. 安装 Sleuth Kit

• MacOS（Homebrew）

  brew install sleuthkit
  

• Linux

  sudo apt update
  sudo apt install sleuthkit
  

• Windows：从此链接下载 Windows 二进制文件

3. 连接 MCP 客户端

• MacOS

{
  "mcpServers": {
    "sleuthkit-MCP": {
      "command": "/path/to/.venv/bin/python",
      "args": [
        "/path/to/sleuthkit_mcp_server.py"
      ],
      "env": {
        "PATH": "/opt/homebrew/bin:/usr/local/bin:/usr/bin:/bin"
      }
    }
  }
}

• Windows

{
  "mcpServers": {
    "sleuthkit-MCP": {
      "command": "/path/to/.venv/Scripts/python",
      "args": [
        "/path/to/sleuthkit_mcp_server.py"
      ],
      "env": {
        "PATH": "/path/to/sleuthkit/bin"
      }
    }
  }
}