x64dbg-MCP Server：让 AI 原生控制 Windows 调试器的 MCP 插件

Skill超级捕获手技术创作者 2026-08-27 11 阅读

x64dbg-MCP Server 是一个用 Zig 构建的原生 MCP 插件，直接嵌入 x64dbg 调试器进程内，通过 HTTP 将调试器的完整功能暴露给任何 MCP 兼容的 AI 助手（Claude Code、Codex、Cursor 等）。开发者可以用自然语言指挥 AI 设置断点、单步执行、读取内存、扫描字符串、导出寄存器——无需手动操作调试器界面。这是 AI + 二进制逆向工程领域的第一个生产级 MCP 集成，上线仅数天便进入 GitHub Trending 视野。

功能与设计原则

x64dbg-MCP Server 的核心设计原则是零依赖、单二进制、架构无关：

原生插件架构：以 x64dbg 插件（.dp64/.dp32）的形式直接运行在调试器进程内，无需外部运行时（.NET、Python、Node 统统不需要）
Zig 构建：整个项目用 Zig 编写，一次构建同时输出 x32 和 x64 两个架构的二进制文件，交叉编译从任意主机均可完成
HTTP + JSON-RPC 2.0：插件在后台线程启动 HTTP 服务器，MCP 客户端通过标准 HTTP 请求发送 JSON-RPC 2.0 调用，映射到 x64dbg SDK 的底层函数
双重传输：同时支持 Streamable HTTP 和 SSE，兼容任意 MCP 客户端

认可度

截至 2026-08-26，GitHub 约 89 颗星（上线约 4 天，增长速度 20+ 星/天），进入当日 GitHub Trending视野。Twitter/X 上有逆向工程师社区讨论，称之为「AI 辅助二进制分析的标配扩展」。项目由独立开发者 @duty_1g 维护，提交频率极高（最近一次提交距查询不足 8 小时）。

链接

GitHub：https://github.com/duty1g/x64dbg-mcp-server

原作者

@duty1g（GitHub: duty1g），独立开发者，自营网站 duty1g.online，Twitter @duty_1g。专注于二进制安全工具与 AI 集成的交叉领域。

介绍

x64dbg 是 Windows 平台最受欢迎的开源调试器之一，被逆向工程师、恶意软件分析师和漏洞研究员广泛使用。然而，它的操作完全依赖 GUI 或命令行脚本，与 AI 助手之间存在天然隔阂——AI 发不出「在 0x401000 处下一个内存断点」这类结构化指令。

x64dbg-MCP Server 填平了这个鸿沟。项目以原生插件形式内嵌到 x64dbg 进程空间，在启动时通过运行时符号解析（runtime-resolved symbols）绑定 x64bridge.dll 和 x64dbg.dll 的 API，然后在一个后台线程上启动 HTTP 服务器。MCP 客户端连接后，每一条 JSON-RPC 请求都会直接路由到对应的 x64dbg SDK 调用——没有轮询，没有外部进程，插件就运行在调试器地址空间内部，拥有调试器的完整上下文。

这种「进程内 MCP Server」的设计意味着 AI 不再需要通过复杂的 IPC 或模拟用户输入来控制调试器——它直接以调试器的视角”看到”内存、寄存器、线程、模块和断点。

特点

84 个 MCP 工具：覆盖反汇编、单步执行、内存读写、寄存器 dump、断点管理、模块分析、线程枚举、调用栈、Pattern 扫描、字符串提取、XREF 查找、符号解析、书签、PE 结构分析、OEP 检测、内存 Dump、PEB/SEH 检查、指令追踪等完整调试能力
22 个事件回调：订阅 x64dbg 所有调试事件——初始化、停止、断点命中、异常、单步、附加/分离、DLL 加载卸载、线程创建等，AI 可在事件触发时自动响应
零外部依赖：纯原生插件，无 .NET、无 Python、无 Node；构建产物单个 dp64/dp32 文件，复制到 x64dbg 插件目录即可使用
x32/x64 双架构：一个代码库同时构建出 32 位和 64 位插件，覆盖两套调试场景
配置持久化：调试器内提供配置对话框，可修改 HTTP 绑定的地址和端口（默认 127.0.0.1 本地访问），配置写入 mcp_config.json，重启自动生效
MCP 协议原生：严格遵循 Model Context Protocol 规范，AI 端无需额外适配，任何 MCP 兼容客户端均可直连

使用方法

安装

确保已安装 x64dbg（https://x64dbg.com/）
安装 Zig 0.16-dev 或更高版本
克隆仓库并构建：

git clone https://github.com/duty1g/x64dbg-mcp-server
cd x64dbg-mcp-server
zig build -Doptimize=ReleaseSafe --prefix dist

dist/x32/plugins/ → x64dbg/release/x32/plugins/
dist/x64/plugins/ → x64dbg/release/x64/plugins/

启动 x64dbg，在插件菜单（Plugins）下找到 “x64dbg-MCP Server” → Configure，可修改监听地址/端口

AI 端接入

在支持 MCP 的 AI 客户端（如 Claude Code）配置 mcpServers：

{
  "mcpServers": {
    "x64dbg": {
      "command": "node",
      "args": ["/path/to/x64dbg-mcp-server/dist/index.js"]
    }
  }
}

最小示例

启动后，直接用自然语言与 AI 对话：

"Set a breakpoint on CreateFileW and run the program"
"Disassemble the current function and explain what it does"
"Search for the byte pattern 48 8B ?? 48 85 C0 in the main module"
"List all threads and show me which one is the anti-cheat scanner"

AI 会通过 MCP 工具将指令转化为 x64dbg 调用，结果实时返回。

使用场景与人群

适用场景：
– 恶意软件静态/动态分析——AI 自动下断点、追踪恶意行为、提取加密配置
– 漏洞挖掘与 PoC 验证——AI 辅助定位漏洞函数、单步执行触发路径
– 软件逆向工程——AI 解释反汇编代码、分析控制流、识别加密算法
– 自动化调试工作流——将重复性调试步骤交给 AI，降低手工操作负担

目标用户：
– 二进制逆向工程师 / 安全研究员
– 恶意软件分析师
– 漏洞猎人（Bug Bounty Hunter）
– 需要 AI 辅助理解未知二进制程序的所有开发者

输入与输出案例

案例一：设置条件断点追踪恶意行为

输入（对 AI）："在 main.exe 的 CreateFileW 上设置断点，当第三个参数是 'C:\ config.bin' 时暂停，然后 dump 前 1KB 的文件内容到桌面"
输出：
  → AI 调用 set_breakpoint(tool="CreateFileW", condition="arg3 == 'C:\\config.bin'")
  → 断点命中后 AI 调用 dump_memory(address=?, size=1024, output="C:\Users\Admin\Desktop\dump.bin")
  → AI 读取返回的十六进制内容并进行初步分析

案例二：自动识别反调试手段

输入（对话）："程序在启动时检测调试器。请帮我找到所有 IsDebuggerPresent 和 NtQueryInformationProcess 的调用位置，列出每个调用的前后 5 条指令"
输出：
  → AI 调用 find_functions(pattern="IsDebuggerPresent") → [0x401234, 0x4020A0]
  → AI 对每个地址调用 get_xrefs(target=address) 找到调用点
  → AI 调用 disassemble(address=caller-5, count=10) 获取上下文
  → AI 整理输出：反调试检测点 × 2，各自的调用上下文，以及是否可被 patch 绕过

GitHub: https://github.com/duty1g/x64dbg-mcp-server

评论区

0 条评论

登录后可评论。