memory-shell-mcp：AI引导的Java内存shell检测和移除
memory-shell-mcp，由RuoJi6开发，是一个用于检测和修复Java内存shell威胁的MCP服务器。它扫描正在运行的Java进程，反编译可疑类，并可以在生成详细检测报告供分析师使用的同时移除内存中的注入。显著功能包括Java进程列表、针对性内存扫描、SSH远程执行，以及在修复之前集成AI的分析。该工具面向网络安全研究人员、系统管理员和将AI集成到Java安全审计中的DevSecOps，并适合事件响应工作流程。
最受推荐的替代方案
专门用于实时JVM取证而非文件扫描
该工具专注于实时Java虚拟机实例，以揭露内存驻留的后门。主要检测能力在界面中列出，允许分析师枚举活动的Java进程，执行针对性的内存扫描，并生成结构化报告。这种以实时为先的方法识别缺乏磁盘伪影的注入代码，因此分析师在决定调查步骤之前可以查看运行时攻击面。
分析准确性依赖于类检查和人工审查
检测使用类反编译和模式分析来表征可疑行为，这一过程产生人类可读的分析输出，而非二进制裁决。反编译可疑类有助于揭示恶意模式，但结果反映了内存检查的局限性：该工具提供候选项以供审查，而不是宣称绝对真相，检测结果最好由分析师验证。
需要准备好的运行时和支持MCP的客户端
服务器在Node.js主机上运行，支持Windows、Linux和macOS，而目标机器必须安装JRE或JDK。远程操作通过SSH进行，交互需要支持MCP的客户端，如Claude Desktop。这些环境依赖性将该工具置于已建立的AI辅助取证管道中，而不是作为独立扫描器。
适合监督事件工作流程，并受到MCP社区的认可
该工具连接高层AI助手和低层系统取证，启用自动化但受监督的审计，分析师指导最终行动。它生成详细的检测报告和推荐行动，以便团队将发现纳入事件响应手册。该工具在MCP开发者社区中因其专注于Java内存威胁的方法而受到关注。
实用的、监督的选项用于AI辅助的Java内存取证
memory-shell-mcp是一个实用的选项，适用于需要AI辅助内存Java威胁分析的安全团队。该工具需要监督决策，因为它在采取破坏性修复措施之前需要AI确认和分析；用户应始终检查analyze_class输出，以避免删除合法组件。将该工具视为取证分类的加速器，而不是人类事件响应判断的替代品。
