Your AI Assistant in Memory Forensics

您的内存取证 AI 助手

概述

Volatility MCP 将 Volatility 3 强大的内存分析功能与 FastAPI 和模型上下文协议（MCP）无缝集成。借助简洁的 REST API，pslist 和 netscan 等插件触手可及，让内存取证不再有障碍，并可将内存痕迹直接连接到 AI 助手和 Web 应用。

功能

• Volatility 3 集成： 利用 Volatility 3 框架分析内存映像。
• FastAPI 后端： 提供 RESTful API，以便与 Volatility 插件交互。
• Web 前端支持（未来功能）： 旨在连接基于 Web 的前端，以便进行交互式分析。
• 模型上下文协议（MCP）： 支持与 Claude Desktop 等 MCP 客户端进行标准化通信。
• 插件支持： 支持多种 Volatility 插件，包括用于列出进程的 pslist 和用于分析网络连接的 netscan。

架构

项目架构由以下组件构成：

• MCP 客户端： 与 FastAPI 后端交互的 MCP 客户端，例如 Claude Desktop。
• FastAPI 服务： 基于 Python 的服务，将 Volatility 插件作为 API 端点提供。
• Volatility 3： 执行分析的内存取证框架。

该架构允许用户通过 Claude Desktop 等 MCP 客户端分析内存映像。用户可以使用自然语言提示词执行内存取证分析，例如： 显示内存映像 x 中的进程列表，或显示所有已建立的外部连接。

开始使用

先决条件

• 系统已安装 Python 3.7+
• 已安装 Volatility 3 二进制文件（参见 Volatility 3 安装指南），并已将其添加到环境路径，名称为 VOLATILITY_BIN

安装

1. 克隆代码库：

   git clone <repository_url>
   cd <repository_directory>
   

2. 安装所需的 Python 依赖项：

   pip install -r requirements.txt
   

3. 启动 FastAPI 服务，以提供 Volatility 3 API：

   uvicorn volatility_fastapi_server:app 
   

4. 安装 Claude Desktop（参见 Claude Desktop

5. 要将 Claude Desktop 配置为 volatility MCP 客户端，请前往 Claude → Settings → Developer → Edit Config，找到 claude_desktop_config.json 文件，并插入以下配置详情

6. 请注意，config.json 文件中的 -i 选项指定了内存映像文件所在的目录路径。

       {
        "mcpServers": {
          "vol": {
            "command": "python",
            "args": [
              "/ABSOLUTE_PATH_TO_MCP-SERVER/vol_mcp_server.py", "-i",     
              "/ABSOLUTE_PATH_TO_MEMORY_IMAGE/<memory_image>"
            ]
          }
        }
    }
   

或者，直接更新此文件：

/Users/YOUR_USER/Library/Application Support/Claude/claude_desktop_config.json

用法

1. 按照上述说明启动 FastAPI 服务。
2. 将 MCP 客户端（例如 Claude Desktop）连接到 FastAPI 服务。
3. 通过询问有关当前内存映像的问题来开始使用提示词，例如显示正在运行的进程、为进程 x 创建树状关系图，或显示所有外部 RFC1918 连接。

未来功能与增强

• 原生 Volatility Python 集成： 将 Volatility Python SDK 直接集成到代码库中，而不是使用 subprocess volatility 二进制文件
• Yara 集成： 实现从内存中转储进程并使用 Yara 规则扫描，以进行恶意软件分析的功能。
• 多映像分析： 支持同时分析多个内存映像，以关联事件并识别不同系统中的模式。
• 添加更多 Volatility 插件： 添加更多 Volatility 插件，以扩展内存分析的范围
• GUI 增强： 开发易于使用的 Web 界面，以便交互式进行内存分析和可视化。
• 自动生成报告： 自动生成详细报告，总结内存分析结果。
• 高级威胁检测： 集成高级技术，以检测内存中的复杂威胁和异常。

贡献

欢迎贡献！请按照以下步骤进行贡献：

1. Fork 此仓库。
2. 创建新分支（git checkout -b feature/my-feature）。
3. 提交更改（git commit -m 'Add some feature'）。
4. 推送到你的分支（git push origin feature/my-feature）。
5. 创建拉取请求。