Ghidra MCP 安全加固指南认证令牌、脚本开关与路径穿越防护完整清单【免费下载链接】ghidra-mcpGhidra MCP Server — 200 MCP tools for AI-powered reverse engineering. GUI plugin headless server, lazy tool loading, convention enforcement, batch operations, Ghidra Server integration, and Docker deployment.项目地址: https://gitcode.com/gh_mirrors/ghi/ghidra-mcpGhidra MCP Server 是一个为 AI 逆向工程提供 200 工具的开源项目它把 Ghidra 的强大能力通过 HTTP 接口暴露给 MCP 客户端。但正是这种把服务器端口打开的用法让Ghidra MCP 安全加固成为每个部署者必须面对的问题。本指南带你逐个认识它的四把安全开关——认证令牌、脚本执行开关、文件根目录限制、项目文件夹作用域——并提供一份可直接对照的加固自检清单。为什么需要给 Ghidra MCP 做安全加固Ghidra MCP 同时支持两种运行形态Ghidra GUI 插件内嵌服务器GhidraMCPPlugin.java和独立 headless 服务器GhidraMCPHeadlessServer.java。默认情况下它只信任本机回环地址的调用者这在单机使用场景是安全的。但一旦你把服务绑定到局域网0.0.0.0、部署到 Docker 容器或暴露给多人使用风险就出现了无认证接口任何能访问该端口的人都能调用全部工具RCE 级端点/run_script_inline等端点可以在 Ghidra 进程内执行任意 Java 代码路径穿越文件导入类端点如果接收未经约束的路径可能被用来读取根目录之外的文件。好消息是项目从 v5.4.1 安全版本开始就内置了完整的加固体系全部由环境变量驱动默认全部关闭、按需开启。所有逻辑集中在一个只读一次的线程安全配置类 SecurityConfig.java 中。安全开关速览4 个环境变量一览 环境变量作用默认状态GHIDRA_MCP_AUTH_TOKEN启用 Bearer Token 认证关闭无认证GHIDRA_MCP_ALLOW_SCRIPTS允许脚本执行端点默认禁用v5.4.1 起的破坏性变更GHIDRA_MCP_FILE_ROOT文件路径穿越防护关闭GHIDRA_MCP_PROJECT_FOLDER项目内路径作用域限制关闭 设计哲学只为本机回环部署零配置任何越界用法跨网络、跨用户都必须显式开启对应防护。认证令牌如何开启 Bearer Token 认证设置GHIDRA_MCP_AUTH_TOKEN后每个 HTTP 请求都必须携带Authorization: Bearer token请求头否则返回 401。实现上有两个值得放心的细节恒定时间比较令牌校验使用 timing-safe 字节比较SecurityConfig.java 中的constantTimeEquals抵抗时序侧信道攻击健康检查豁免/mcp/health、/health、/check_connection三个只读探活端点永远免认证方便容器健康检查见 docker-compose.yml。更强的绑定规则是未配置令牌时headless 服务器拒绝绑定任何非回环地址。启动时的 requireAuthForNonLoopbackBind 检查会让--bind 0.0.0.0直接启动失败并提示你先设置强随机令牌——想跨网络访问先拿到钥匙。生成一个安全令牌的推荐方式export GHIDRA_MCP_AUTH_TOKEN$(openssl rand -hex 32)脚本执行开关为什么默认关闭是最安全的⚠️ 这是 v5.4.1 最重要的破坏性变更/run_script_inline和/run_ghidra_script端点默认禁用。原因很直接——这些端点本质是在 Ghidra 进程内执行任意 Java 代码属于 RCE 级接口。v5.4.1 之前它们是常开的项目团队在安全审计后将其翻转为默认关闭调用未开启的端点会返回 403且错误信息会明确提示所需的环境变量。只有当你的工作流确实需要让 AI 向 Ghidra 推送脚本时才显式开启export GHIDRA_MCP_ALLOW_SCRIPTS1 # 接受 1 / true / yes不区分大小写v6.0.0 还进一步把这道闸移到了泄水口本身runGhidraScript内部强制检查并删除了注册表中那条无门控的/run_script路由防止未来被重新接回。详见 CHANGELOG.md 的 v6.0.0 安全章节。路径穿越防护用 FILE_ROOT 圈定文件边界当端点参数是真实文件系统路径如导入目标二进制文件时攻击者可能构造../../etc/passwd之类的输入试图逃逸。设置GHIDRA_MCP_FILE_ROOT后所有文件系统路径类端点/load_program、/import_file等都会先做路径规范化再强制要求解析结果必须落在该根目录之内否则直接拒绝。核心实现在 resolveWithinFileRootexport GHIDRA_MCP_FILE_ROOT/srv/ghidra/inputs还有一个项目域的姊妹开关GHIDRA_MCP_PROJECT_FOLDER。它约束的是 Ghidra项目内路径如/Mods/PD2-S12/Bnclient.dll不是文件系统路径用于把 AI 的读写范围锁定在某个文件夹内且前缀匹配特意防碰撞/Mods/PD2-S12-OTHER不会误匹配/Mods/PD2-S12。免费自带的隐藏防护CSRF、DNS 重绑定与请求体限制即使什么都不配置v6.0.0 之后你也能获得多层免费防护反 CSRF / DNS 重绑定守卫未配置令牌时服务器会拒绝跨站Origin的请求和非回环Host头的请求rejectCrossOriginRequest。这挡住了你打开的某个网页向 127.0.0.1 偷偷发请求和DNS 重绑定把域名指向回环两类攻击64 MiB 请求体上限所有传输通道TCP、headless、UDS统一限制防止恶意Content-Length逼出无界内存分配异常信息脱敏顶层未捕获异常只向服务端记日志对外返回通用错误避免泄漏路径和类名桥接器只信回环Python 桥接的 validate_server_url 硬性拒绝任何非回环的 Ghidra 服务器 URL——因为桥接走的是明文 HTTP 且要转发令牌绝不允许把凭据送上网络Docker 非 root 运行容器以ghidra用户运行构建过程也不禁用 TLS 校验。Docker 一键部署的正确姿势 项目的 docker-compose.yml 把令牌做成了硬性必填使用${GHIDRA_MCP_AUTH_TOKEN:?...}语法令牌缺失时 compose 直接报错而不是让容器起死后在日志里自生自灭。最小部署流程生成令牌export GHIDRA_MCP_AUTH_TOKEN$(openssl rand -hex 32)启动docker compose up -d --build桥接容器与 Ghidra 容器共享网络命名空间令牌一钥两向——出站发给 Ghidra 服务器入站也要求 MCP 客户端出示同一令牌杜绝未认证桥接充当受保护服务器的无认证代理人confused deputy问题。完整清单还可参考仓库根目录的 SECURITY.md 了解漏洞报告渠道与支持范围。加固自检清单 ✅部署完成后逐条对照#检查项对应配置1跨网络访问时已设置强随机令牌GHIDRA_MCP_AUTH_TOKEN2不需要脚本执行就保持禁用GHIDRA_MCP_ALLOW_SCRIPTS不设3文件导入端点已限定根目录GHIDRA_MCP_FILE_ROOT4多项目共享服务器时限定文件夹GHIDRA_MCP_PROJECT_FOLDER5浏览器端跨域需求用令牌而非放开守卫配置令牌后守卫自动让位6升级时留意破坏性变更说明查看 CHANGELOG.md结语Ghidra MCP 的安全设计可以概括为一句话默认安全、显式越界。四把环境变量开关覆盖了认证、代码执行、文件系统边界三个最高危面再加上免费获得的 CSRF/DNS 重绑定防护与请求体限流即使是新手只要花 5 分钟配好环境变量就能得到一个生产级别的加固部署。逆向工程工具越强边界意识越重要——希望这份清单能让你的 Ghidra MCP 既开放又安全。【免费下载链接】ghidra-mcpGhidra MCP Server — 200 MCP tools for AI-powered reverse engineering. GUI plugin headless server, lazy tool loading, convention enforcement, batch operations, Ghidra Server integration, and Docker deployment.项目地址: https://gitcode.com/gh_mirrors/ghi/ghidra-mcp创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考