Windows Memory Forensics MCP

Windows内存取证MCP

警告：概念验证 这是为研究和CTF目的开发的概念验证实现。 使用风险自负。 不建议在没有彻底测试和验证的情况下进行生产法医调查。

用于Windows内存取证的模型上下文协议（MCP）服务器。为AI代理提供33个工具，用于使用Volatility 3、MemProcFS和CLR分析后端分析内存转储。

作者 雅各布·克雷尔

先决条件

在运行安装程序之前，请确保您已经：

1. Python 3.10+ - 从python.org下载
2. Visual C++构建工具 -编译yara-python时需要

- 下载Visual C++构建工具 - 在安装过程中，选择 “用C++进行桌面开发” 工作量 - 这是YARA扫描功能所必需的

快速设置（一个命令）

# Clone and setup
git clone https://github.com/0xhackerfren/windows-memory-forensics-mcp.git
cd windows-memory-forensics-mcp
.\setup.ps1

安装脚本将：

• 创建Python虚拟环境
• 安装所有依赖项（Volatility 3、MemProcFS、pefile、yara-python）
• 验证安装
• 打印Cursor/Claude的配置说明

设置后，使用内存转储进行验证：

python verify_setup.py C:\path\to\memory.raw

AI代理使用

有关AI代理指南，请参阅 AGENT_RULES.md -此文件包含：

• 完整的工具参考
• 调查工作流程模式
• 常见分析模式
• 示例命令

您可以将AGENT_RULES.md用作：

• 游标规则（复制到 .cursor/rules/)
• 克劳德桌面系统提示
• 参考文件

免责声明

该软件“按原样”提供，用于研究、教育和CTF目的。

• 无任何保证或担保 准确性或完整性
• 彻底测试 在用于真实的法医证据之前
• 不用于生产用途 -独立验证所有结果
• 作者是 不负责任 对于由此工具得出的任何损坏、数据丢失或错误结论
• 始终遵循适当的监管链程序进行真正的法医调查

特性

• 可插拔后端：波动率3、MemProcFS、cdb.exe、dotnet转储
• 过程分析：列出进程、命令行、DLL、句柄
• 恶意软件检测：故障、隐藏模块检测、注射检测
• 内存提取：VAD转储（原始和重建），任意内存读取
• CLR/。网络分析：深。通过迷你转储上的SOS命令进行NET检查
• 分阶段有效载荷重建：从环境变量中提取和解码有效载荷（PASTALOADER、GrimResource模式）
• 网络取证：网络连接枚举

MCP客户端配置

光标IDE

添加到 .cursor/mcp.json （如果文件不存在，请创建该文件）：

{
  "mcpServers": {
    "memory-forensics-mcp": {
      "command": "C:/path/to/windows-memory-forensics-mcp/venv/Scripts/python.exe",
      "args": ["C:/path/to/windows-memory-forensics-mcp/src/memory_forensics_mcp.py"]
    }
  }
}

重要：使用虚拟环境Python(venv/Scripts/python.exe)以确保依赖关系可用。

重新启动Cursor以加载MCP。

克劳德桌面/克劳德代码

添加到 %APPDATA%\Claude\claude_desktop_config.json:

{
  "mcpServers": {
    "memory-forensics-mcp": {
      "command": "C:/path/to/windows-memory-forensics-mcp/venv/Scripts/python.exe",
      "args": ["C:/path/to/windows-memory-forensics-mcp/src/memory_forensics_mcp.py"]
    }
  }
}

重新启动Claude Desktop以加载MCP。

可用工具（33）

过程分析

内存提取

VFS浏览（MemProcFS）

恶意软件检测

网络取证

注册分析

CLR/。网络分析

分阶段有效载荷分析

标记和时间线（AI工作流）

效用

用法示例

基本过程分析

# List all processes
result = list_processes(memory_file="C:/evidence/memory.raw")
for proc in result["results"]:
    print(f"PID {proc['PID']}: {proc['ImageFileName']}")

# Get command line for suspicious process
cmdline = get_cmdline(memory_file="C:/evidence/memory.raw", pid=1234)
print(cmdline["results"])

检测隐藏/注入模块

# Use ldrmodules to find modules with suspicious flags
ldr = ldrmodules(memory_file="memory.raw", pid=3120)
for mod in ldr["results"]:
    if not mod["InLoad"] and not mod["InInit"] and not mod["InMem"]:
        print(f"Hidden module: {mod['Base']} - {mod['MappedPath']}")

# Or use the automated detection
hidden = find_hidden_modules(memory_file="memory.raw", pid=3120)
print(f"Found {hidden['count']} hidden modules")

检测分段有效载荷（PASTALOADER/GrimResource模式）

# Extract environment variables with a specific prefix
env = get_process_environment(
    memory_file="memory.raw",
    pid=3120,
    filter_prefix="B_"  # PASTALOADER uses B_1, B_2, ... B_N
)
print(f"Found {env['filtered_count']} staged payload chunks")

# Reconstruct the payload
payload = reconstruct_staged_payload(
    memory_file="memory.raw",
    pid=3120,
    var_prefix="B_",
    decode_algorithm="pastaloader",
    output_path="./output/reconstructed_payload.bin"
)
print(f"Payload MD5: {payload['md5']}")

后端

安装脚本会自动安装所有后端：

可选外部工具

后端选择

大多数工具支持 engine 参数：

# Auto-select best available backend (default)
list_processes(memory_file="memory.raw", engine="auto")

# Force Volatility 3
list_processes(memory_file="memory.raw", engine="volatility")

# Force MemProcFS
list_processes(memory_file="memory.raw", engine="memprocfs")

故障排除

常见问题

验证安装

# Check backends only
python verify_setup.py --check-only

# Full test with memory file
python verify_setup.py C:\path\to\memory.raw

手动安装

如果 setup.ps1 失败，请手动安装：

python -m venv venv
.\venv\Scripts\Activate.ps1
pip install mcp volatility3 pefile memprocfs

项目结构

windows-memory-forensics-mcp/
+-- src/
|   +-- memory_forensics_mcp.py  # Main MCP server
+-- examples/
|   +-- basic_analysis.py        # Basic usage examples
|   +-- malware_detection.py     # Malware detection workflow
|   +-- staged_payload.py        # Staged payload reconstruction
|   +-- quickstart.py            # Quick verification script
+-- .cursor/
|   +-- mcp.json.example         # Cursor configuration example
+-- setup.ps1                    # One-command setup script
+-- verify_setup.py              # Installation verification
+-- AGENT_RULES.md               # AI agent usage guide
+-- requirements.txt             # Python dependencies
+-- pyproject.toml               # Package metadata
+-- LICENSE                      # MIT License
+-- README.md                    # This file

需求

• Windows 10/11
• Python 3.10+
• PowerShell 5.1+（用于setup.ps1）

所有Python依赖项都由自动安装 setup.ps1.

贡献

欢迎投稿！拜托：

1. 克隆该仓库
2. 创建要素分支(git checkout -b feature/amazing-feature)
3. 提交您的更改(git commit -m 'Add amazing feature')
4. 推到分支(git push origin feature/amazing-feature)
5. 打开拉取请求

许可证

此项目根据MIT许可证获得许可-请参阅 许可证 文件以获取详细信息。

作者

雅各布·克雷尔 -创建者和维护者

致谢

• 波动基金会 波动性3
• 乌尔夫·弗里斯克 MemProcFS
• Anthropic 对于MCP规范
• 破解《神探夏洛克》的挑战，推动开发

相关项目

• 波动性3 -内存取证框架
• MemProcFS -内存进程文件系统
• MCP规范 -模型上下文协议

______________________________________________________________________

概念验证 -根据真实世界的DFIR调查创建。战斗测试了HTB夏洛克挑战，包括Novitas（疯狂难度）。

*使用风险自负。始终通过多种方法验证法医调查结果。*