信息卡

一句话定位

用 Zig 编写的 x64dbg 原生 MCP 插件：调试器启动即内置 HTTP 服务，把设断点、单步、读写内存等完整调试能力暴露给任意 MCP 兼容 AI 助手。

走红原因分析

逆向与恶意样本分析社区正在把 LLM 接进工作流，但此前多为外挂脚本轮询方案。这个项目做到"x64dbg 进程内原生服务"——零 .NET/Python 运行时依赖、无轮询无外部进程，上传后仅数日即上千星，说明"原生插件 + MCP 标准协议"正是安全研究圈想要的那块拼图。Zig 单码基同时产出 x32/x64 两套插件也颇具技术吸引力。

核心功能拆解

• 84 个 MCP 工具 + 22 个事件回调覆盖整个调试工作流（README 另一处写 72 个工具，属文档内部不一致）。
• 断点全家桶：INT3、硬件断点 DR0–DR3、条件断点、内存断点、异常断点。
• 寄存器与内存读写：`GetAllRegisters`、`ReadMemory`、`WriteMemToAddress`、内联汇编 `Assemble`。
• 静态辅助分析：`FindPattern`（支持 `??` 通配）、`GetStrings`、`GetReferences`、`AnalyzeModule`、针对加壳二进制的 `DetectOEP`。
• 追踪与解引用：`TraceInto/TraceOver`、指针链解引用 `FollowPointer`、PEB/SEH 检查、调用栈获取。
• 兜底通道：`ExecuteDebuggerCommand` 可执行任意 x64dbg 命令，`EvalExpression` 直接求值表达式。

架构与技术栈浅析

纯 Zig 实现，每架构一个二进制（`.dp32/.dp64`）。启动时从 `x64bridge.dll` 与 `x64dbg.dll` 运行时解析调试 API 符号，然后在 x64dbg 地址空间内的后台线程起 HTTP 服务，遵循 MCP 2024-11-05 规范的 Streamable HTTP + SSE（JSON-RPC 2.0）。源码分层清晰：`main.zig`（入口/菜单/回调）、`core/bridge.zig`（SDK 绑定）、`core/mcp_server.zig`（HTTP+JSON-RPC 分发）。

安装与环境要求

• 下载 Release 或自行构建；
• 将 `dist/` 内容复制进 x64dbg 根目录（同时部署双架构）；
• 启动 x64dbg 即自动运行。默认端口：x64 → `0.0.0.0:9094`，x32 → `0.0.0.0:9095`。

首次运行自动生成 Bearer Token；客户端配置示例：

{
  "mcpServers": {
    "x64dbg": {
      "type": "http",
      "url": "http://localhost:9094/",
      "headers": { "Authorization": "Bearer YOUR_TOKEN_HERE" }
    }
  }
}

老客户端可用 `"type": "sse"` + `/sse` 路径。

快速上手示例

README 给出的 AI 会话流程：加载 calc.exe → `LoadBinary` 后 `SetBreakpoint` 断在入口点 → `run` + `WaitForPause` → `GetAllRegisters` 读寄存器 → `ReadMemory` 十六进制转储 RIP 处内存 → `StepOver` ×3 再 `GetCallStack` 看调用栈。GUI 配置入口在 Plugins > x64dbg-MCP Server > Configure。

进阶使用要点

• 需从源码构建时要求 Zig 0.16-dev+，支持 Windows/WSL/Linux/macOS 交叉编译：`zig build -Doptimize=ReleaseSafe --prefix dist`。
• 绑定地址可切 `127.0.0.1`（仅本机）或 `0.0.0.0`（远程/WSL），Token 持久于 x64dbg 目录旁的 `mcp_config.json`，可在 GUI 中重新生成。
• 安全警告必须重视：流量走未加密 HTTP，仅有 Bearer Token 保护，且授予内存写入与进程操纵级控制权，切勿暴露到不可信网络。
• `SaveDatabase` 可保存 `.dd64/.dd32` 分析数据库，便于跨会话保留成果。

典型应用场景

• AI 辅助逆向：自动下断、读寄存器、跟栈并解释汇编语义；
• 恶意样本行为分析中的人机协同动态调试；
• CTF/pwn 题目的自动化解题流水线；
• 加壳程序脱壳定位 OEP 的半自动探索；
• 教学场景：让学生用自然语言驱动调试器学习底层。

同类生态位对比

对比 Ghidra/IDA 系 MCP 插件偏静态分析，本项目补足的是动态调试一环；对比 Python 脚本桥接方案（如 pykd 风格），原生插件消除了外部进程与轮询延迟，但生态绑定于 x64dbg 本身。两者常配合使用：静态库比对找目标，动态断点验证猜想。

资源导航

• Releases 页面下载现成 dist 包
• 源码结构：`main.zig` / `core/*.zig` / `mcp/tools.zig`
• 作者声明仅用于合法逆向、恶意软件分析、安全研究与教育用途