CFF Explorer MCP Server

CFF浏览器MCP服务器

谈谈你的体育档案。 一种桥接的模型上下文协议（MCP）服务器 CFF浏览器的强大Lua脚本引擎和Claude AI——支持自然语言PE分析、导入/导出检查和二进制补丁。

______________________________________________________________________

这是什么？

该项目将 CFF浏览器 --通过模型上下文协议将专业级PE文件分析工具转换为AI可访问的工具。设置完成后，您可以向Claude询问以下问题：

• *“分析PE标题 malware.exe 并标记任何可疑的东西”*
• *“列出所有进口 suspicious.dll 并强调危险的API调用”*
• *“从以下位置提取清单资源 setup.exe"*
• *“NOP在偏移0x1A3C处输出5个字节 target.exe"*
• *“在偏移量0x2B10处反转跳转，以便许可证检查始终通过”*

…Claude将在引擎盖下使用无头CFF Explorer，以结构化、解释性的结果回答您。

______________________________________________________________________

运作原理

You (natural language)
        │
        ▼
  Claude Desktop
        │  MCP protocol (stdio)
        ▼
  server.py  ◄─── This project
        │
        │  1. Generates a temporary .cff Lua script
        │  2. Launches CFF Explorer.exe as a subprocess (headless, no GUI)
        │  3. CFF Explorer runs the script, prints results to stdout, exits
        │  4. server.py parses the output into structured JSON
        │
        ▼
  CFF Explorer.exe
  (running invisibly in background for ~1 second)

关键见解： CFF Explorer有一个内置 Lua脚本引擎（v2）当你通过一个 .cff 脚本文件作为命令行参数，它可以无头运行——没有窗口，没有GUI，只有脚本执行和stdout输出。该项目利用这一点，为人工智能模型提供对CFF Explorer的完整PE分析API的编程访问。

______________________________________________________________________

特性

______________________________________________________________________

需求

______________________________________________________________________

安装

步骤1--下载CFF资源管理器

1. 首选 https://ntcore.com/?page_id=388

1. 下载 Explorer套件

1. 安装它（默认路径： C:\Program Files\Explorer Suite\)

1. 重要提示： 打开CFF浏览器GUI→ go to Edit → 偏好 → 取消勾选 脚本权限保护（SPP）

> SPP在某些脚本操作之前显示GUI同意对话框。在无头模式下，此对话框会永远阻塞，导致超时。禁用它，MCP服务器才能正常工作。

步骤2--克隆此回购

git clone https://github.com/YOUR_USERNAME/cff-explorer-mcp.git
cd cff-explorer-mcp

步骤3——安装Python依赖项

pip install -r requirements.txt

这只安装了一个软件包： mcp SDK。

步骤4--配置Claude桌面

打开您的Claude Desktop配置文件：

%APPDATA%\Claude\claude_desktop_config.json

添加 cff-explorer 进入下 mcpServers。参见 claude_desktop_config_example.json 对于模板：

{
  "mcpServers": {
    "cff-explorer": {
      "command": "python",
      "args": [
        "C:/path/to/cff-explorer-mcp/server.py"
      ],
      "env": {
        "CFF_EXPLORER_PATH": "C:\\Program Files\\Explorer Suite\\CFF Explorer.exe"
      }
    }
  }
}

注： 使用实际的Python路径。通过跑步找到它 where python 在PowerShell中。

步骤5--重新启动克劳德桌面

关闭并重新打开Claude Desktop。您应该在工具面板中看到可用的CFF资源管理器工具。

______________________________________________________________________

用法示例

PE标头分析

*“分析C:\\samples\\suspice.exe的PE标头”*

克劳德将返回：

• 体系结构（x86/x64/ARM64）
• 入口点、图像库、大小
• 所有具有虚拟/原始大小、RVA和特征标志的部分
• 子系统类型（GUI、CUI、Native等）
• 无论是a。NET程序集
• 可疑标志（伪造时间戳、非标准图像库、部分异常）

进口分析

*“列出所有导入的C:\\malware\\dropper.dll，并标记任何危险内容”*

Claude将枚举所有DLL和函数，然后自动标记：

• 工艺注射原料药(VirtualAlloc, WriteProcessMemory, CreateRemoteThread)
• 反调试API(IsDebuggerPresent, CheckRemoteDebuggerPresent)
• 网络API(WSAStartup, connect, send)
• 加密API(CryptEncrypt, CryptGenRandom)
• 直接NT系统调用(NtQueryValueKey, NtOpenProcess)

出口商品清单

*“C:\\tools\\hook.dll导出哪些函数？”*

列出所有命名导出及其序号，这对于理解DLL向调用者公开的内容非常有用。

二进制补丁

*“C:\\crack\\game.exe中偏移0x1234处NOP输出6个字节”*

*“反转C:\\target\\app.exe中文件偏移量0x5678处的跳转”*

⚠️ 在打补丁之前，始终备份文件。 这些操作会就地修改文件。

资源开采

*“从C:\\app\\installer.exe中提取清单，并将其保存到C:\\temp\\manifest.xml”*

常见资源类型ID：

______________________________________________________________________

项目结构

cff-explorer-mcp/
│
├── server.py                        ← Main MCP server (all logic lives here)
├── requirements.txt                 ← Python dependencies (just: mcp)
├── .gitignore                       ← Standard Python/Windows gitignore
├── claude_desktop_config_example.json  ← Config template for Claude Desktop
└── README.md                        ← This file

内部 server.py

______________________________________________________________________

CFF资源管理器脚本说明

CFF浏览器使用 修改Lua 方言。本项目与标准Lua的主要区别在于：

这 os 和 io 库缺失是开发过程中发现的主要错误。此项目中的所有脚本仅使用 print() 为了输出。

______________________________________________________________________

故障排除

脚本超时

• 确保 脚本权限保护（SPP） 在CFF资源管理器首选项中禁用
• 检查 CFF_EXPLORER_PATH 指向正确 .exe
• 首先尝试手动运行CFF Explorer以确保其打开

“未找到CFF资源管理器”错误

• 验证您的路径 claude_desktop_config.json
• 默认安装路径： C:\Program Files\Explorer Suite\CFF Explorer.exe
• 在JSON中使用双反斜杠： C:\\Program Files\\Explorer Suite\\CFF Explorer.exe

工具未出现在Claude Desktop中

• 编辑配置后完全重新启动Claude Desktop
• 验证JSON（无尾随逗号，平衡大括号）
• 检查克劳德桌面日志： %APPDATA%\Claude\logs\

“尝试索引全局'os'”错误

• 您正在运行的是旧版本的 server.py --更新到最新版本
• 旧版本使用不正确 os.tmpname() 这在CFF Explorer的Lua中不存在

______________________________________________________________________

贡献

欢迎拉取请求！对未来工具的一些想法：

• check_packer --通过截面熵检测常见的封隔器（UPX、Themida等）
• update_checksum --修补后重新计算并写入PE校验和
• add_section --向PE文件添加新节
• realign_pe --将截面重新对齐到给定的对齐值
• dotnet_metadata --倾倒。托管程序集的NET元数据表

______________________________________________________________________

学分

• CFF浏览器和脚本引擎 — 丹尼尔·皮斯泰利/NTCore --使这一切成为可能的工具
• MCP-SDK — 人类
• GhidraMCP — Laurie连线 --RE工具与MCP结合的启示

______________________________________________________________________

*与克劳德一起建造*