Volatility3 Mcp Server

❄️ Volatility MCP 服务

---

📌 概述

Volatility MCP 服务是一款由 Volatility 3 提供支持的强大内存取证自动化工具包。它提供模块化、可扩展的接口，可在 Windows、Linux 和 macOS 内存转储上运行 Volatility 插件。

它通过以下功能让内存分析更快速、更易用：

✅ 插件自动化
✅ 跨平台支持（Windows、Linux、macOS）
✅ 模块化插件架构
✅ 格式美观的详细日志
✅ 轻松注册和管理插件

---

💡 主要功能

• 🔍 由 Volatility 3 提供支持
• 🧠 支持 Windows、Linux 和 macOS 插件
• ⚙️ 异步执行插件
• 📤 JSON 输出格式
• 📊 内置错误处理和验证
• 👨‍💻 FastMCP 服务接口
• 🐳 支持 Docker 的环境

---

📦 要求

python 3.11+
pip install -r requirements.txt

requirements.txt：

fastmcp
rich
python-dotenv

---

📁 项目结构

Volatility-MCP-Server/
├── volatility_mcp_server.py    # Main server implementation
├── plugins/                    # Plugin modules
│   ├── base_plugin.py         # Base plugin class
│   ├── plugin_factory.py      # Plugin registration
│   ├── windows/               # Windows plugins
│   ├── linux/                 # Linux plugins
│   ├── mac/                   # macOS plugins
│   └── common/                # Common plugins
├── requirements.txt           # Dependencies
└── README.md                 # This file

---

🖥️ 使用方法

🔧 本地连接

使用 stdio

创建 .cursor/mcp.json 文件，内容如下：

{
  "mcpServers": {
    "Volatility3": {
      "command": "fastmcp",
      "args": ["run", "path/to/volatility_mcp_server.py:mcp", "--transport", "stdio"]
    }
  }
}

使用 sse

运行服务：

fastmcp run volatility_mcp_server.py:mcp --transport sse

适用于 Claude 桌面版

{
    "mcpServers": {
      "volatility3": {
        "command": "npx",
        "args": ["mcp-remote", "http://localhost:8000/sse"]
      }
    }
  }

适用于 Cursor

{
  "mcpServers": {
    "Volatility3": {
      "url": "http://localhost:8000/sse"
    }
  }
}

📊 可用插件

Windows 插件

• 进程：PsList、PsTree、PsScan
• 内存：Malfind、MemMap
• 网络：NetScan
• 注册表：RegistryHiveList、RegistryPrintKey
• 系统：SvcScan、CmdLine、DllList、Handles、FileScan
• 磁盘：ADS、MFTScan、ResidentData

Linux 插件

• 进程：PsList、PsTree、PsScan、PsAux、PsCallStack
• 系统：Bash、Boottime、Capabilities
• 网络：IpAddr、IpLink、Netfilter
• 内存：Malfind、ModuleExtract
• 文件系统：Files、InodePages、RecoverFs

macOS 插件

• 进程：PsList、PsTree、Psaux
• 系统：Bash、Dmesg、Lsmod
• 网络：Ifconfig、Netstat
• 安全：Check_syscall、Check_sysctl、Check_trap_table

通用插件

• 框架：Banners、ConfigWriter、FrameworkInfo、IsfInfo、LayerWriter
• 扫描：RegExScan、YaraScan、Vmscan
• 时间线：Timeliner

---

🐳 Docker 使用方法（不确定原本想在这里写什么，但将来或许会有用）

⚙️ 1. 构建 Docker 镜像

在根目录下：

docker build -t volatility-mcp .

▶️ 2. 运行服务

docker run --rm -it \
  -v $(pwd)/memdumps:/memdumps \
  -v $(pwd)/output:/output \
  volatility-mcp

---

🔧 开发者／贡献者指南

🧱 设置虚拟环境

python3 -m venv venv
source venv/bin/activate
pip install -r requirements.txt

🧪 本地运行

python volatility_mcp_server.py

---

✍️ 自定义提示

• 📀 想要添加新插件？扩展 BasePlugin，并在 plugin_factory.py 中注册
• 🧩 想要添加新的操作系统？创建新的插件目录并实现相应插件
• 📚 想要添加新功能？模块化架构让扩展变得轻松

---

🙋 常见问题

🟠 支持 Volatility 2.x 吗？
🔻 不支持。本服务仅支持 Volatility 3，以便使用现代插件。

🔵 可以添加自定义插件吗？
✅ 可以！只需扩展 BasePlugin 类，并在工厂中注册即可。

🔴 为什么使用 FastMCP？
它提供简洁、高效的接口来运行 Volatility 插件，并支持完善的错误处理和异步操作。

---

📜 许可证

MIT ©️ 2025

---

🌐 想了解更多工具？

你可能还喜欢：

• Volatility Foundation
• FastMCP 文档
• Python-dotenv