WinDbg拡張+Python MCPサーバー。MCP互換クライアント(Cursor、Claude、VS Code + Cline/Roo)がクリーンで検証済みのコマンドでWinDbgを駆動できるようにします。カーネル優先;ユーザーモードも動作します。

内容

• クイックスタート
• 建築
• 使用例
• ここは何だ
• 正気性チェック
• トラブルシューティング
• 構成
• テスト
• 注記

クイックスタート

前提科目

• Windows 10/11
• WinDbg(Windows SDK「Windowsデバッグツール」)
• Visual Studio ビルドツール(C++)
• Python 3.10+ および Poetry 2.x

拡張機能(Developer PowerShell for VS)を構築する:

WinDbgでのロード:

MCPサーバーをインストールして実行します(ルートディレクトリ内):

建築

• 拡張は名前付きパイプサーバーをホストし、WinDbgコマンドを安全に実行します。
• Pythonサーバーは入力を検証し、タイムアウトを解決し、ツールをMCPクライアントに公開します。

使用例

一般(自然言語プロンプト)

• 「カーネル内のすべての実行中のプロセスを見せて」
• 「現在のスレッドのスタックトレースは?」
• 「アドレス0x1000のメモリを解析する」
• 「このクラッシュダンプを理解する手助けを」
• 「ntにブレークポイントを設定しろ!NtCreateFileを使い実行を続けろ」
• 「次の3つの指示をステップアップしてレジスタを見せてください」

ルートキットの挙動(研究のみ)

WinDbg‑ext‑MCP

WinDbg extension + Python MCP server. Lets MCP‑compatible clients (Cursor, Claude, VS Code + Cline/Roo) drive WinDbg with clean, validated commands. Kernel‑first; user‑mode works too.

Contents

• Quick Start
• Architecture
• Usage Examples
• What’s Here
• Sanity Check
• Troubleshooting
• Configuration
• Tested With
• Notes

Quick Start

Prereqs

• Windows 10/11
• WinDbg (Windows SDK “Debugging Tools for Windows”)
• Visual Studio Build Tools (C++)
• Python 3.10+ and Poetry 2.x

Build the extension (Developer PowerShell for VS):

msbuild extension\windbgmcpExt.sln /p:Configuration=Release /p:Platform=x64

Load in WinDbg:

.load C:\path\to\windbgmcpExt.dll

Install and run the MCP server (in root directory):

poetry install
poetry run selftest
poetry run mcp --list-tools
poetry run mcp

Architecture

MCP Client (stdio)    Python MCP Server (stdio)    WinDbg Extension (named pipe)    WinDbg/Target
                             FastMCP                      \\.\pipe\windbgmcp                   Kernel/User

• The extension hosts a named‑pipe server and executes WinDbg commands safely.
• The Python server validates inputs, resolves timeouts, and exposes tools to MCP clients.

Usage Examples

General (natural language prompts)

• “Show me all running processes in the kernel”
• “What’s the current thread’s stack trace?”
• “Analyze the memory at address 0x1000”
• “Help me understand this crash dump”
• “Set a breakpoint on nt!NtCreateFile and continue execution”
• “Step through the next 3 instructions and show me the registers”

Rootkit behavior (research‑only)

• “Hide explorer.exe using EPROCESS unlink and PspCidTable Unlink”
• “Make OneDrive.exe appear to have no open handles”
• “Make notepad.exe resistance to termination and kill attempts”
• “Install invisible system call hooks that dont modify SSDT”
• “Hide network connections from netstat while keeping them active”
• “Make files invisible to directory enumeration but accessible by direct path”

Note: These are for lawful, defensive research in controlled test labs only.

Available Tools

• debug_session: session status and metadata
• connection_manager: connection health and resilience controls
• session_manager: capture/restore debugging context
• run_command: execute a WinDbg command with validation/timeout handling
• run_sequence: execute multiple commands in order
• breakpoint_and_continue: set a breakpoint and continue execution
• analyze_process: process enumeration, info, and context switching
• analyze_thread: thread info and stack traces
• analyze_memory: memory display, typed structures, searches
• analyze_kernel: kernel objects and system analysis
• performance_manager: optimization controls and performance report
• async_manager: parallel execution and async task stats
• troubleshoot: quick diagnostics and guidance
• get_help: list tools and usage tips