Capstone MCP Server

Capstone MCP Server

中文 | English

基于 Capstone 反汇编引擎的 MCP (Model Context Protocol) 服务器，为大语言模型提供二进制分析能力。

功能特性

• 多架构支持: x86 (16/32/64)、ARM/ARM64、MIPS (32/64)、PowerPC (32/64)
• 多格式解析: PE、ELF、Mach-O 二进制文件自动识别与解析
• 反汇编工具: 支持 hex 字节串、文件区段、虚拟地址、文件偏移等多种输入方式
• 控制流分析: 基本块识别、跳转/调用/返回分析
• 指令搜索: 按助记符或指令类别过滤搜索
• 架构自动检测: 从 PE/ELF/Mach-O 文件头自动推断 CPU 架构
• ROP Gadget 搜索: 查找以 ret 结尾的指令片段，用于 ROP 链构造
• 安全特性检测: 类似 checksec，检测 NX/PIE/RELRO/Canary/ASLR 等
• PLT/GOT & IAT 分析: ELF 动态链接表与 PE 导入表分析
• 字符串提取: 支持 ASCII 和 UTF-16LE 编码的可读字符串扫描
• XOR 编解码: 单字节暴力破解与多字节密钥 XOR 运算
• 缓冲区溢出辅助: De Bruijn 序列生成与偏移计算（pattern_create/offset）
• 加密常量识别: 检测 AES S-Box、SHA、MD5、TEA、CRC32、Base64 等常量
• Shellcode 分析: NOP sled、syscall、jmp/call esp 等模式检测
• Syscall 查找: Linux x86/x64/ARM/ARM64 系统调用表查询
• Hex Dump: 格式化的十六进制转储查看
• 交叉引用查询: 在代码中搜索对指定地址的所有引用（call/jump/立即数/内存访问）

提供的 MCP 工具

基础反汇编工具

CTF / 逆向扩展工具

安装

# 克隆项目
git clone 
cd capstone-mcp-server

# 安装依赖
pip install -e .

运行

直接运行

capstone-mcp

通过 Python 模块运行

python -m capstone_mcp.server

使用 MCP Inspector 调试

mcp dev src/capstone_mcp/server.py

配置 MCP 客户端

Windsurf / Claude Desktop

在 MCP 配置文件中添加:

{
  "mcpServers": {
    "capstone-disasm": {
      "command": "python",
      "args": ["-m", "capstone_mcp.server"],
      "cwd": "/path/to/capstone-mcp-server"
    }
  }
}

或者使用 uv 运行:

{
  "mcpServers": {
    "capstone-disasm": {
      "command": "uv",
      "args": ["run", "--directory", "/path/to/capstone-mcp-server", "capstone-mcp"]
    }
  }
}

使用示例

反汇编 hex 字节串

大模型可调用 disassemble_hex 工具:

输入: hex_code="554889e54883ec10c745fc00000000b8000000004883c4105dc3", arch="x86_64"

输出:

Architecture: x86_64
Base Address: 0x0
Input Size:   25 bytes
────────────────────────────────────────────────────────────────
0x00000000:  55                        push     rbp
0x00000001:  4889e5                    mov      rbp, rsp
0x00000004:  4883ec10                  sub      rsp, 0x10
0x00000008:  c745fc00000000            mov      dword ptr [rbp - 4], 0
0x0000000f:  b800000000                mov      eax, 0
0x00000014:  4883c410                  add      rsp, 0x10
0x00000018:  5d                        pop      rbp
0x00000019:  c3                        ret

分析二进制文件

1. 调用 get_binary_info("C:/path/to/program.exe")  → 获取文件概要
2. 调用 disassemble_entrypoint("C:/path/to/program.exe")  → 查看入口点
3. 调用 search_instructions_in_file("C:/path/to/program.exe", group="call")  → 查找所有调用

依赖

• Python >= 3.10
• mcp - Model Context Protocol SDK
• capstone - 反汇编引擎
• LIEF - 二进制文件解析库

许可证

MIT