Volatility3 MCP Server

Volatility3 MCP Server

简介

Volatility3 MCP Server 是一款强大的工具，可将 Claude Desktop 等 MCP 客户端连接到 Volatility3（一款先进的内存取证框架）。通过这一集成，大模型可以通过简单的对话界面分析内存转储、检测恶意软件并执行复杂的内存取证任务。

演示

演示视频

你还可以在此处查看关于此工具的详细介绍。

解决的问题

内存取证是一个复杂的领域，通常需要专业知识和命令行技能。本项目通过以下方式消除这一障碍：

• 让非专业人士也能通过自然语言进行内存取证
• 让大模型能够直接分析内存转储并提供见解
• 自动化常见的取证工作流，而这些工作流通常需要多个手动步骤
• 让内存取证变得更加易用、更加便于使用

功能

• 内存转储分析：使用各种插件分析 Windows 和 Linux 内存转储
• 进程检查：列出正在运行的进程、检查其详情并识别可疑活动
• 网络分析：检查网络连接以检测命令与控制服务器
• 跨平台支持：支持 Windows 和 Linux 内存转储（即将支持 macOS）
• 恶意软件检测：使用 YARA 规则扫描内存，以识别已知的恶意软件特征

配置

1. 克隆此仓库：
2. 创建虚拟环境：

   python -m venv environ
   source environ/bin/activate
   

3. 安装所需依赖：

   pip install -r requirements.txt
   

你可以通过两种方式使用此项目：

选项 1：使用 Claude Desktop

4. 配置 Claude Desktop：
   • 转到 Claude -> Settings -> Developer -> Edit Config -> claude_desktop_config.json 并添加以下内容

        {
            "mcpServers": {
            "volatility3": {
                "command": "absolute/path/to/virtual/environment/bin/python3",
                "args": [
                "absolute/path/to/bridge_mcp_volatility.py"
                ]
            }
            }
        }
     

     
5. 重启 Claude Desktop 并开始分析内存转储。

选项 2：使用 Cursor（SSE Server）

4. 启动 SSE 服务：

   python3 start_sse_server.py
   

5. 配置 Cursor 以使用 SSE 服务：
   • 打开 Cursor 设置
   • 转到 Features -> MCP Servers
   • 添加一个 MCP 服务，并将 URL 设为 http://127.0.0.1:8080/sse
6. 在 Agent 模式下使用 Cursor Composer 并开始分析内存转储。

可用工具

• initialize_memory_file：设置用于分析的内存转储文件
• detect_os：识别内存转储的操作系统
• list_plugins：显示所有可用的 Volatility3 插件
• get_plugin_info：获取特定插件的详细信息
• run_plugin：使用自定义参数执行任意 Volatility3 插件
• get_processes：列出内存转储中的所有运行进程
• get_network_connections：查看系统的所有网络连接
• list_process_open_handles：检查进程访问的文件和资源
• scan_with_yara：使用 YARA 规则扫描内存中的恶意模式

贡献

欢迎贡献！欢迎提交 Pull Request。