취약한 MCP 서버 연구소

이 저장소에는 의도적으로 취약한 모델 컨텍스트 프로토콜(MCP) 서버(로컬 및 원격 모두)의 구현체가 포함되어 있습니다. 각 서버는 자체 폴더에 위치하며, 해당 서버가 하는 일, 실행 방법, 취약점 시연/공격 방법에 관한 상세 정보를 담은 전용 README.md를 포함하고 있습니다.

이 모든 것은 통제된 실험실 환경 밖에서 절대 진행하지 마십시오.

이 리포가 왜 쓰러지는지

• MCP 서버 및 도구 통합 실패 모드에 대한 보안 교육/연구.
• 취약한 MCP 서버가 데이터 노출, 명령어 주입, 공급망 침해, 코드 실행으로 이어질 수 있는 실습 데모.

안전 / 실험실 안내

• 일회용 VM/컨테이너를 사용하고 실제 비밀이나 개인 데이터는 사용하지 마세요.
• 격리된 네트워크에서 실행하는 것을 선호합니다. 여러 서버가 아웃바운드 네트워크 호출을 수행합니다.
• 모든 도구 출력과 검색된 콘텐츠를 신뢰할 수 없는 데이터로 취급합니다.
• HTTP를 통해 서버를 노출할 경우, 적절한 제어를 추가하지 않는 한 접근 가능하거나 남용될 수 있다고 가정하세요.

시작

• 아래 인덱스에서 서버를 선택하세요.

Vulnerable MCP Servers Lab

This repository contains intentionally vulnerable implementations of Model Context Protocol (MCP) servers (both local and remote). Each server lives in its own folder and includes a dedicated README.md with full details on what it does, how to run it, and how to demonstrate/attack the vulnerability.

Do not run any of this outside a controlled lab environment.

What this repo is for

• Security training / research into common MCP server and tool-integration failure modes.
• Hands-on demos of how vulnerable MCP servers can lead to data exposure, instruction injection, supply-chain compromise, and code execution.

Safety / lab guidance

• Use a disposable VM/container and avoid using real secrets or personal data.
• Prefer running on an isolated network; several servers make outbound network calls.
• Treat all tool output and retrieved content as untrusted data.
• If you expose any server over HTTP, assume it may be reachable/abused unless you add proper controls.

Getting started

• Pick a server from the index below.
• Open its per-server README and follow the instructions there.
• Many servers include a claude_config.json snippet intended to be merged into Claude Desktop’s MCP configuration.

MCP servers in this repo

• Filesystem Workspace Actions (path traversal + code exec): Tools for reading/writing/listing a “workspace” plus Python execution; vulnerable to naive path joining and unsandboxed code execution.

  • README: vulnerable-mcp-server-filesystem-workspace-actions/README.md

• Indirect Prompt Injection (local stdio): Document retrieval/search that returns documents verbatim, including embedded hidden instructions.

  • README: vulnerable-mcp-server-indirect-prompt-injection/README.md

• Indirect Prompt Injection (remote MCP over HTTP+SSE): Network-accessible MCP server (HTTP + SSE) returning untrusted documents verbatim; models risk of connecting to untrusted remote MCP endpoints.

  • README: vulnerable-mcp-server-indirect-prompt-injection-remote-mcp/README.md

• Malicious Code Execution (eval-based RCE): “Quote of the day” tool with an unsafe formatting feature that eval()s attacker-controlled JavaScript.

  • README: vulnerable-mcp-server-malicious-code-exec/README.md

• Malicious Tools (instruction injection / fabricated tool output): Appears to return status data, but injects misleading instructions and can fabricate plausible-looking incidents.

  • README: vulnerable-mcp-server-malicious-tools/README.md