ntobjmanager-mcp — MCP-сервер для Claude Code: что делает и запуск
Сервер связывает ИИ-агента с PowerShell-модулем NtObjectManager для анализа поверхности атаки Windows RPC. Пригодится при аудите интерфейсов и проверке дескрипторов контекста.
Открыть на GitHubЧто делает ntobjmanager-mcp
Сервер передаёт агенту 24 инструмента для исследования RPC-интерфейсов Windows через библиотеку James Forshaw NtObjectManager. В отличие от обычного запуска разовых скриптов, процесс powershell.exe остаётся запущенным между вызовами. Из-за этого сохраняются открытые сессии клиентов, разобранные серверы и переменные $RPCMCP.
Архитектура построена на server.py, шаблонах snippets.py и движке ps_engine.py. Инструменты парсят PE-файлы, опрашивают конечные точки через EPM и вызывают методы через отражение. Для изолированных тестов предусмотрено выполнение команд внутри лабораторной виртуальной машины через скрипт vm_listener.ps1.
Для запуска сервер требует Python версии 3.10+, PowerShell 5.1 и предварительно установленный модуль NtObjectManager. Инструменту rpc_etw_unreachable обязательно нужны права администратора, иначе трассировку ETW собрать не выйдет. Журнал каждого вызова инструментов сохраняется в файл output/mcp_audit.log.
Какие задачи решает
- Разобрать исполняемый файл и извлечь зарегистрированные RPC-интерфейсы
- Проверить службы и конечные точки через запросы к RPC Endpoint Mapper
- Выполнять вызовы RPC-методов с сохранением состояния сессии
- Найти незарегистрированные интерфейсы остановленных служб Windows
- Проверить дескрипторы контекста на риск путаницы типов
Примеры запросов агенту
- Просканируй файл
C:\Windows\System32\srvsvc.dllчерезrpc_parseи покажи найденные RPC-интерфейсы. - Запроси список конечных точек через
rpc_query_endpointsдля локального хоста. - Проверь остановленные службы на наличие перехватываемых интерфейсов командой
rpc_find_hijackable.
Как установить ntobjmanager-mcp
Установка
Команды запуска нет в реестре MCP — смотрите README репозитория
По шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о ntobjmanager-mcp
Как установить ntobjmanager-mcp в Claude Code?
Сначала установите модуль Install-Module NtObjectManager -Scope CurrentUser -Force в PowerShell и зависимости pip install -r requirements.txt. Затем подключите сервер командой claude mcp add ntobjectmanager-rpc -- python C:\path\to\ntobjmanager-mcp\server.py.
Что делает ntobjmanager-mcp?
Сервер предоставляет 24 MCP-инструмента для исследования поверхности атаки Windows RPC через PowerShell и библиотеку James Forshaw NtObjectManager. Он удерживает постоянный процесс PowerShell, поэтому контекст и сессии не сбрасываются между запросами.
Нужны ли права администратора для работы ntobjmanager-mcp?
Большинство инструментов инвентаризации и запросов к EPM работают под обычной учётной записью. Права администратора требуются только инструменту rpc_etw_unreachable, который собирает события ETW.
