MCP Exploit Demo

🚀 通过MCP工具中毒实现SSH密钥外泄攻击

本项目主要演示了MCP（模型上下文协议）服务器中存在的一个安全漏洞，利用该漏洞可通过工具中毒的方式实现远程代码执行和数据窃取。此内容仅用于教育及安全研究目的。

🚀 快速开始

此项目主要用于展示攻击过程和原理，若要深入了解可参考以下博客链接： MCP工具中毒到RCE

📦 仓库内容

• server.py：恶意的MCP服务器实现，其中包含被毒化的工具。
• .cursor/mcp.json：用于与Cursor AI集成的配置文件。

✨ 主要特性

本项目通过特定的攻击手段，展示了利用MCP服务器漏洞进行数据窃取的过程，其特性在于结合了技术手段和社会工程学，实现了隐蔽的数据外泄。

🔧 攻击原理

该攻击采用了“拉地毯”（Rug Pull）方法，具体步骤如下：

1. 用户借助MCP客户端（例如Cursor AI）连接到恶意的MCP服务器。
2. 服务器对DockerCommandAnalyzer工具的文档进行修改，插入恶意代码。
3. 当AI助手读取此文档时，文档已被篡改，进而导致AI推荐执行一个base64编码的命令。
4. 编码后的命令会执行以下操作：
   • 收集用户的SSH公钥。
   • 将其秘密发送到远程服务器。
   • 删除攻击痕迹。

🔧 技术细节

此攻击的关键技术实现细节包含以下几点：

1. 两阶段中毒：运用标记文件确保工具始终处于被毒化状态。
2. 社会工程学：利用紧急语言诱导AI助手执行恶意操作。
3. Base64混淆：对恶意命令进行隐藏，防止被轻易察觉。
4. wget外泄：通过标准HTTP POST请求将数据发送至攻击者控制的服务器。

💡 使用建议

为有效防范此类攻击，建议采取以下措施：

1. 禁用自动执行功能：在Cursor等AI开发工具中关闭自动运行功能。
2. 验证来源：在连接MCP服务器之前，仔细核实其身份和可信性。
3. 代码审查：在执行来自不可信来源的代码之前，进行严格的检查。
4. 使用沙盒环境：在测试新AI工具时，采用隔离的沙盒环境。
5. 实施出站过滤：配置网络规则，阻止未授权的外联请求。

此攻击案例着重强调了在使用MCP协议和AI开发工具时的安全性问题，提醒用户和开发者时刻保持警惕，并采取恰当的安全防护措施。