# ntobjmanager-mcp

Сервер связывает ИИ-агента с PowerShell-модулем NtObjectManager для анализа поверхности атаки Windows RPC. Пригодится при аудите интерфейсов и проверке дескрипторов контекста.

- MCP-сервер · `type=mcp` · Claude Code, Codex, Cursor, GitHub Copilot, Windsurf (Devin Desktop), Cline, Zed · ★ 16
- Автор: lupingQAQ
- Лицензия: MIT · policy=link-only · показываем только описание, файл — у автора
- Исходник: https://github.com/lupingQAQ/ntobjmanager-mcp
- Обновлён: 2026-09-30
- HTML: https://affpapa.org/nevibecode/mcp/ntobjmanager-mcp

## Что делает

Сервер передаёт агенту 24 инструмента для исследования RPC-интерфейсов Windows через библиотеку James Forshaw NtObjectManager. В отличие от обычного запуска разовых скриптов, процесс `powershell.exe` остаётся запущенным между вызовами. Из-за этого сохраняются открытые сессии клиентов, разобранные серверы и переменные `$RPCMCP`.

Архитектура построена на `server.py`, шаблонах `snippets.py` и движке `ps_engine.py`. Инструменты парсят PE-файлы, опрашивают конечные точки через EPM и вызывают методы через отражение. Для изолированных тестов предусмотрено выполнение команд внутри лабораторной виртуальной машины через скрипт `vm_listener.ps1`.

Для запуска сервер требует Python версии 3.10+, PowerShell 5.1 и предварительно установленный модуль `NtObjectManager`. Инструменту `rpc_etw_unreachable` обязательно нужны права администратора, иначе трассировку ETW собрать не выйдет. Журнал каждого вызова инструментов сохраняется в файл `output/mcp_audit.log`.

## Установка

### Claude Code (родная платформа)

**Установка**
- Команды запуска нет в реестре MCP — смотрите README репозитория

## Когда брать
- Разобрать исполняемый файл и извлечь зарегистрированные RPC-интерфейсы
- Проверить службы и конечные точки через запросы к RPC Endpoint Mapper
- Выполнять вызовы RPC-методов с сохранением состояния сессии
- Найти незарегистрированные интерфейсы остановленных служб Windows
- Проверить дескрипторы контекста на риск путаницы типов

## Примеры запросов агенту
- Просканируй файл `C:\Windows\System32\srvsvc.dll` через `rpc_parse` и покажи найденные RPC-интерфейсы.
- Запроси список конечных точек через `rpc_query_endpoints` для локального хоста.
- Проверь остановленные службы на наличие перехватываемых интерфейсов командой `rpc_find_hijackable`.

## Похожие
- [windows-hardening](https://affpapa.org/nevibecode/skills/windows-hardening.md) — скилл · 388 установок
- [powershell-security-hardening](https://affpapa.org/nevibecode/agents/powershell-security-hardening.md) — субагент · 194 установки
- [powershell-5.1-expert](https://affpapa.org/nevibecode/agents/powershell-51-expert.md) — субагент · 196 установок
- [windows-builder](https://affpapa.org/nevibecode/skills/windows-builder.md) — скилл · 2700 установок
- [game-automation](https://affpapa.org/nevibecode/skills/game-automation.md) — скилл · 1500 установок
- [excel-cli](https://affpapa.org/nevibecode/skills/excel-cli.md) — скилл · 1000 установок

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md