Your AI Assistant in Memory Forensics

您的内存取证 AI 助手

概述

Volatility MCP 将 Volatility 3 强大的内存分析功能与 FastAPI 和模型上下文协议 (MCP) 无缝集成。体验无障碍的内存取证，pslist 和 netscan 等插件可以通过简洁的 REST API 访问，将内存工件直接连接到 AI 助手和 Web 应用程序。

特性

• Volatility 3 集成： 利用 Volatility 3 框架进行内存镜像分析。
• FastAPI 后端： 提供 RESTful API 来与 Volatility 插件交互。
• Web 前端支持（未来特性）： 旨在与基于 Web 的前端连接，以进行交互式分析。
• 模型上下文协议 (MCP)： 支持与 Claude Desktop 等 MCP 客户端进行标准化通信。
• 插件支持： 支持各种 Volatility 插件，包括用于进程列表的 pslist 和用于网络连接分析的 netscan。

架构

项目架构包括以下组件：

• MCP 客户端： 像 Claude Desktop 这样的 MCP 客户端，与 FastAPI 后端交互。
• FastAPI 服务器： 一个基于 Python 的服务器，将 Volatility 插件公开为 API 端点。
• Volatility 3： 执行分析的内存取证框架。

此架构允许用户通过像 Claude Desktop 这样的 MCP 客户端分析内存镜像。用户可以使用自然语言提示来执行内存取证分析，例如 显示内存镜像 x 中的进程列表，或显示所有建立的外部连接。

入门

前提条件

• 您的系统上安装了 Python 3.7+
• 安装了 Volatility 3 二进制文件（参见 Volatility 3 安装指南）并将其添加到名为 VOLATILITY_BIN 的 env 路径中

安装

1. 克隆存储库：

   git clone <repository_url>
   cd <repository_directory>
   

2. 安装所需的 Python 依赖项：

   pip install -r requirements.txt
   

3. 启动 FastAPI 服务器以公开 Volatility 3 API：

   uvicorn volatility_fastapi_server:app
   

4. 安装 Claude Desktop (参见 Claude Desktop)

5. 要将 Claude Desktop 配置为 volatility MCP 客户端，请导航至 Claude → Settings → Developer → Edit Config，找到 claude_desktop_config.json 文件，并插入以下配置详细信息

6. 请注意，config.json 文件中的 -i 选项指定了您的内存镜像文件的目录路径。

       {
        "mcpServers": {
          "vol": {
            "command": "python",
            "args": [
              "/ABSOLUTE_PATH_TO_MCP-SERVER/vol_mcp_server.py", "-i",
              "/ABSOLUTE_PATH_TO_MEMORY_IMAGE/<memory_image>"
            ]
          }
        }
    }
   

或者，直接更新此文件：

/Users/YOUR_USER/Library/Application Support/Claude/claude_desktop_config.json

用法

1. 如上所述启动 FastAPI 服务器。
2. 将 MCP 客户端（例如，Claude Desktop）连接到 FastAPI 服务器。
3. 通过询问有关范围内的内存镜像的问题来启动提示，例如显示正在运行的进程，为进程 x 创建树关系图，或显示所有外部 RFC1918 连接。

未来特性和增强功能

• 原生 Volatility Python 集成： 将 Volatility Python SDK 直接集成到代码库中，而不是子进程 volatility 二进制文件
• Yara 集成： 实现从内存中转储进程并使用 Yara 规则扫描它以进行恶意软件分析的功能。
• 多镜像分析： 启用同时分析多个内存镜像，以关联事件并识别不同系统中的模式。
• 添加更多 Volatility 插件： 添加更多 volatility 插件以扩大内存分析的范围
• GUI 增强： 开发一个用户友好的 Web 界面，用于交互式内存分析和可视化。
• 自动报告生成： 自动生成详细的报告，总结内存分析的结果。
• 高级威胁检测： 结合先进技术来检测内存中复杂的威胁和异常。

贡献

欢迎贡献！请按照以下步骤进行贡献：

1. Fork 这个存储库。
2. 创建一个新分支 (git checkout -b feature/my-feature)。
3. 提交您的更改 (git commit -m 'Add some feature')。
4. 推送到您的分支 (git push origin feature/my-feature)。
5. 打开一个 pull request。