波动性-MCP-服务器

Name: 波动性-MCP-服务器
Author: bornpresident

作者：bornpresident23 星标更新：2025-07-07

项目介绍

这是一个集成Volatility 3内存取证框架与Claude和其他兼容MCP的大语言模型（LLMs）的Model Context Protocol (MCP)服务器。

在印度，由于人口众多和网络犯罪率上升，数字取证调查员面临着大量的积压案件。此工具通过以下方式帮助解决这一挑战：

通过使内存取证更加易于访问，此工具可以显著减轻取证专家的工作负担，并提高印度的网络安全响应能力。

该项目通过Model Context Protocol (MCP)将Volatility 3框架的强大内存取证功能与大语言模型（LLMs）连接起来。它允许您使用自然语言进行内存取证分析，通过将Volatility插件暴露为可以直接由Claude或其他兼容MCP的大语言模型调用的MCP工具。

克隆此仓库：

git clone https://github.com/yourusername/volatility-mcp-server.git

安装所需的Python包：
```
pip install mcp httpx
```
在脚本中配置Volatility路径：
- 打开volatility_mcp_server.py并更新VOLATILITY_DIR变量以指向您的Volatility 3安装路径。
配置Claude Desktop：
- 打开位于以下位置的Claude Desktop配置文件：
  - Windows: %APPDATA%\Claude\claude_desktop_config.json
  - macOS: ~/Library/Application Support/Claude/claude_desktop_config.json
- 添加服务器配置：
```
{
  "mcpServers": {
    "volatility": {
      "command": "python",
      "args": [
        "/path/to/volatility_mcp_server.py"
      ],
      "env": {
        "PYTHONPATH": "/path/to/volatility3"
      }
    }
  }
}
```
- 将/path/to/替换为您文件的实际路径。
重启Claude Desktop以应用更改。

设置完成后，您可以简单地向Claude提出关于内存转储的自然语言问题：

该服务器公开了以下Volatility插件作为MCP工具：

此MCP服务器支持一个简化的内存取证工作流程：

初步分类
- "显示memory.vmem中的进程树"
- "列出memory.vmem中的所有网络连接"
可疑进程调查
- "进程1234使用的命令行是什么？"
- "显示进程1234加载的所有DLL"
- "进程1234打开了哪些文件句柄？"
恶意软件搜索
- "在memory.vmem上运行malfind以检查代码注入"
- "显示具有异常父子关系的进程"
- "在memory.vmem中查找隐藏的进程"

如果您遇到问题：

此服务器可以通过以下方式扩展：