duty1g/x64dbg-mcp-server

x64dbg‑MCP Server – AI 驱动的逆向工程桥梁

是什么

• 专为 Windows 调试器 x64dbg 设计的原生插件，实现了 Model Context Protocol (MCP)。它在调试器内部运行，通过 HTTP/JSON‑RPC 接口公开 x64dbg 的全部命令。
• 任何兼容 MCP 的 AI 助手（例如基于大语言模型的代理）都可以驱动该服务器，执行典型的逆向工程任务：加载二进制文件、设置断点、单步执行、读取内存、转储寄存器等。

为何重要

• 通过将调试器转变为远程、可编程的服务，该插件使 LLM 能作为 代理式 的逆向工程伙伴。AI 可以发出高层指令（例如“加载 calc.exe 并在入口点断点”），插件将这些指令转化为具体的调试器操作。
• 实现为 零依赖，使用 Zig 编译，生成单个二进制文件（.dp32/.dp64），可直接放入 x64dbg 插件目录。无需额外运行时（如 Python、.NET）。

核心功能

功能	提供的能力
71 个 MCP 工具	完整覆盖 x64dbg 功能——反汇编、单步执行、断点、内存分配、寄存器访问、PE 分析、模式扫描等
22 个事件回调	实时通知调试器事件（断点命中、异常、DLL 加载、线程创建等）
双传输协议	HTTP（可流式传输）和 Server-Sent Events (SSE)——兼容新旧 MCP 客户端
Bearer 令牌认证	首次运行时自动生成令牌；每个请求必须包含 Authorization: Bearer <token> 以防止未授权使用
跨平台编译	一个 Zig 代码库可在任意主机系统（Windows、Linux、macOS、WSL）上构建 x86（x32）和 x64 插件
自动启动与配置 UI	x64dbg 启动时自动启动服务器；通过简单对话框可更改绑定地址、端口和令牌

工作原理

1. 插件加载到 x64dbg 中，并在运行时解析调试器 SDK 符号。
2. 启动后台 HTTP 服务器（默认端口：x64 为 9094，x32 为 9095）。
3. MCP 客户端发送 JSON‑RPC 请求（例如 LoadBinary、SetBreakpoint、ReadMemory）。
4. 服务器将每个请求映射到对应的 x64dbg SDK 调用并返回结果。
5. 事件回调可通过 SSE 向客户端推送通知，实现响应式 AI 工作流。

典型 AI 驱动工作流

你：加载 calc.exe 并在入口点断点
AI → 调用 LoadBinary → 调用 SetBreakpoint → 运行 → WaitForPause

你：显示寄存器
AI → 调用 GetAllRegisters

你：在当前 IP 位置读取 64 字节
AI → 调用 ReadMemory

AI 可迭代查询状态、调整断点，甚至自动化复杂分析（如模式扫描、PE 转储），无需手动 UI 交互。

安装与使用

• 下载最新版本，将 dist/ 文件夹内容复制到 x64dbg 根目录（插件放入 plugins/ 文件夹）。
• 服务器自动启动；通过 Plugins → x64dbg‑MCP Server → Configure MCP Server… 配置 IP/端口/令牌。
• 在 MCP 客户端配置（JSON）中添加服务器，并包含正确的 Authorization 头。

构建方法

# 需要 Zig 0.16‑dev 或更高版本
zig build -Doptimize=ReleaseSafe --prefix dist

构建将生成两个插件二进制文件（.dp32 和 .dp64）。

安全提示 服务器通过网络提供对调试器的完全控制，因此应仅在受信任的接口上暴露。认证是强制的，但通信使用未加密的 HTTP；请勿在不可信网络中暴露。

---

许可证：MIT – 可自由使用、修改和重新分发。