ssh-forensics-mcp

  [](https://github.com/xihan123/ssh-forensics/actions/workflows/release.yml)   # ssh-forensics-mcp 面向已授权目标的 SSH 远程取证 MCP Server，提供「通道 + 探测 + 证据链」原语： - SSH 连接、只读命令执行、SFTP 小文件读取、证据原件下载和会话管理； - 本机 TCP 端口扫描（nmap 优先）与 HTTP 指纹抓取； - 每次调用自动写入按主机隔离的 JSONL 证据链。 面板识别、部署发现、数据库识别和入侵判断等业务逻辑交给上层 Agent 的 `remote-forensics` Skill 完成，本服务不绑定特定 MCP 客户端。完整 SOP、知识库和 报告模板见仓库：<https://github.com/xihan123/ssh-forensics>。 ## 目录 - [环境要求](#环境要求) - [安装与运行](#安装与运行) - [MCP 客户端配置](#mcp-客户端配置) - [推荐取证流程](#推荐取证流程) - [工具](#工具) - [只读守卫与安全边界](#只读守卫与安全边界) - [证据目录](#证据目录) - [本地开发与验证](#本地开发与验证) - [合规声明](#合规声明) ## 环境要求 - Python 3.10 及以上； - 已获授权的 Linux 服务器和可用的 SSH 凭据； - `uv`（推荐）或 Python/pip； - `nmap` 可选，未安装时自动回退到内置 TCP connect 扫描。 ## 安装与运行 ### 使用 PyPI 发布包 由 MCP 客户端直接拉起 stdio 服务： ```bash uvx ssh-forensics-mcp ``` 或安装到当前环境后运行： ```bash python -m pip install ssh-forensics-mcp ssh-forensics-mcp ``` ### 从源码运行 ```bash cd mcp-ssh-forensics uv run ssh-forensics-mcp ``` 也可以先执行 `python -m pip install -e .`，再运行 `ssh-forensics-mcp`。 ## MCP 客户端配置 通用 JSON 配置： ```json { "mcpServers": { "ssh-forensics": { "command": "uvx", "args": ["ssh-forensics-mcp"] } } } ``` 使用已安装命令时，将 `command` 改成 `ssh-forensics-mcp` 并删除 `args` 即可。Codex CLI： ```bash codex mcp add ssh-forensics -- uvx ssh-forensics-mcp ``` 服务使用 MCP stdio 传输，不监听网络端口；需要通过 URL 接入的客户端应使用其本地 stdio 适配器，而不是把该进程直接暴露到公网。 ## 推荐取证流程 1. `ssh_connect` 建连。密码和私钥二选一；有可信基线时填写 `expected_host_key_fingerprint` 做固定校验。 2. `ssh_exec` 分块运行 `ss -tunlp`、`ps auxf`、日志和配置读…