Aragorn (Alfarom256)

阿拉贡

用于Windows安全研究的直接内核调试器MCP服务器。通过kdnet连接到Windows VM内核，并在 模型上下文协议.

这个过程 是 调试器。它正在孕育 kd.exe 作为kdnet传输的子进程，然后通过 DebugConnect() 用于完全访问DbgEng COM。不需要Winchester GUI。

MCP Client ──stdio/http──► Aragorn ──DebugConnect(TCP)──► kd.exe ──kdnet──► VM kernel

快速开始

# 1. Install dependencies
pip install -r requirements.txt

# 2. Copy DbgEng DLLs from WinDbg Preview into dbgeng_bin/
#    (dbgeng.dll, dbghelp.dll, dbgmodel.dll, dbgcore.dll, symsrv.dll, srcsrv.dll)

# 3. Configure
cp .env.example .env
# Edit .env: set KD_CONNECTION, KD_EXE_PATH, etc.

# 4. Run (stdio mode — for MCP clients like Claude Code)
python server.py

# Or HTTP mode (for remote/shared access)
python server.py --http

.mcp.json集成

{
  "aragorn": {
    "type": "stdio",
    "command": "python",
    "args": ["path/to/Aragorn/server.py"]
  }
}

配置

所有设置都是通过环境变量（或 .env 文件）：

DbgEng二进制文件

这 dbgeng_bin/ 目录为gitignored。从WingePreview安装中复制以下DLL：

C:\Program Files\WindowsApps\Microsoft.WinDbg_*\amd64\
  ├── dbgeng.dll
  ├── dbghelp.dll
  ├── dbgmodel.dll
  ├── dbgcore.dll
  ├── symsrv.dll
  └── srcsrv.dll

VM代理

这 vm_agent/ 目录包含一个运行的轻量级Flask服务器 在目标VM内部它通过HTTP公开进程执行、文件I/O和驱动程序服务管理。Aragorn的工作流工具(breakpoint_and_run, vm_exec等等）使用它来协调内核调试与VM端操作。

# On the VM:
cd vm_agent
pip install -r requirements.txt
cp .env.example .env
# Edit .env: set VM_AGENT_API_KEY
python server.py

VM代理是可选的——所有纯调试器工具都可以在没有它的情况下工作。您只需要它来协调工作流工具。

工具

会话和连接（9）

多会话（6）

命令执行（3）

记忆（7）

登记簿（2）

堆栈（1）

断点（4）

执行控制（4）

检查（4）

符号（4）

活动（3）

内核对象（8）

工作流程（8）

建筑

Aragorn/
├── server.py          # FastMCP entry point, registers all tool modules
├── config.py          # Environment variable configuration
├── debugger.py        # High-level Debugger class (lifecycle, commands, reconnect)
├── dbgeng.py          # Pure ctypes COM interface definitions (6 interfaces)
├── callbacks.py       # IDebugOutputCallbacks + IDebugEventCallbacks
├── sessions.py        # Multi-session registry (parallel VM debugging)
├── vm_client.py       # Async HTTP client to VM agent
├── dbgeng_bin/        # DbgEng DLLs (gitignored, ~15MB)
├── vm_agent/          # REST server for target VM (Flask + psutil)
│   ├── server.py      # VM agent HTTP server
│   ├── requirements.txt
│   └── .env.example
└── tools/             # MCP tool modules (one per domain)
    ├── core.py        # execute, execute_batch, evaluate
    ├── session.py     # connect, disconnect, status, ensure_ready
    ├── multi_session.py  # session_create/connect/destroy/list
    ├── memory.py      # read/write virtual + physical memory, MSR
    ├── registers.py   # read/write registers
    ├── stack.py       # get_stack
    ├── breakpoints.py # set/remove/list breakpoints, exception filters
    ├── execution.py   # continue, step_into, step_over, break_in
    ├── inspection.py  # list modules/threads/processes, switch context
    ├── symbols.py     # resolve symbols, field offsets, disassemble
    ├── events.py      # wait/poll/clear debug events
    ├── kernel.py      # read_struct, PTE, pool, driver/device objects, SSDT, IDT
    └── workflow.py    # breakpoint_and_run, run_and_trace, VM proxy tools

COM接口堆栈

Aragorn通过ctypes封装了六个DbgEng COM接口（不需要C++扩展）：

• IDebuClient --会话生命周期，回调注册
• IDebugControl --命令执行、断点、执行状态
• IDebugDataSpaces2 --虚拟/物理内存、地址转换
• IDebugRegisters --寄存器读/写
• IDebugSymbols 2 --符号解析、类型信息、拆卸
• IDebugSystemObjects --进程/线程/模块枚举

所有阻塞COM操作都封装在 asyncio.to_thread() 用于MCP stdio兼容性。每个会话都有一个专用的COM线程（DbgEng具有线程关联性）。

许可证

WTFPL