Darknet MCP Server

社区

为 AI 代理提供暗网与威胁情报的全谱能力

分类: 其他第 142 / 230
Stars: ★ 524 非常热门
传输方式: stdio（本地进程）
运行环境: Node.js · Bun · Docker
凭据: 无需凭据
许可证: MIT
最近提交: 4 个月前
工具数: 66

51FMRS · D

darknet-mcp-server 是一个非官方的社区项目(MIT 许可,Bun + TypeScript),通过 stdio 上的 MCP 向 AI 代理提供 66 个暗网与威胁情报工具,覆盖 16 个数据源。其最大价值在于把分散的泄露查询、勒索软件追踪、Tor .onion 访问、恶意软件分析、区块链溯源和漏洞检索统一到一次对话中,并带有按提供方限流、TTL 缓存、DNS 泄漏防护与缺失密钥时的优雅降级。多数免费工具开箱即用,但 HIBP 账户/粘贴搜索、IntelligenceX、AbuseIPDB、Hudson Rock、Hybrid Analysis 等需要 API 密钥,7 个 Tor 工具还需要本地运行 Tor 代理。仅适用于获得授权的安全测试与评估。

最强项 · 文档质量 14/20 最弱项 · 安全与权限 5/20

可靠性

9/20

安全与权限

5/20

维护活跃度

11/20

文档质量

14/20

安装易用性

12/20

查看各项评分依据

可靠性 9/20: 静态审查仅见到 README，未提供 server manifest 缓存，也未在可见证据中提供任何 CI 工作流或已提交的测试文件。README 声明的 66 个工具链、16 个数据源、每提供方限流器、TTL 缓存、graceful degradation 等设计在源文件中不可复核，属于自述性证据，不可作为可复现验证。可推断的失败面较大：Tor 工具依赖外部 SOCKS5 守护进程，7 个工具在无 Tor 时不可用；HIBP/IntelX/AbuseIPDB/HudsonRock/HybridAnalysis/Vulners 等大量工具依赖可选密钥，缺键时返回描述性错误（README 自述），但错误分支是否可控无法验证。按静态校准上限 12 且无测试证据，给 9 分，扣分点为：无 manifest、无测试、无 CI、核心路径不可复现、外部依赖（Tor 守护进程、16 个第三方 API 的可用性与速率限制）不可控。
安全与权限 5/20: 需先甄别红线。该服务器本身并不包含恶意载荷、不执行凭据窃取代码，也不具备默认的无确认删除/支付/部署/远程命令能力——它是只读型情报聚合客户端，因此不触发最高级别的红线判定。但其领域本质是收集泄露凭据、stealer 日志、暗网泄露与 .onion 抓取，属于高度敏感数据面：工具可直接检索被盗的账号密码凭据（Hudson Rock 按 email/domain/IP 检索受害者机器、IntelligenceX 泄露数据、HIBP paste/account 搜索），README 未披露任何数据保留、本地缓存落盘位置与清理策略、结果外传边界，也无任何针对敏感查询的用户确认机制或授权校验流程。凭据处理方面：README 展示的配置样例全部使用占位符（your-key、optional），未发现真实 token 或密钥泄漏，这点正常；但 API key 通过环境变量明文传入，且 README 中 claude_desktop_config.json 示例要求在配置文件内以明文 env 字段存放密钥，无密钥轮换/最小权限说明。权限上属于全量凭据聚合，无 least-privilege 拆分或作用域限制，Tor 抓取经由 SOCKS5 具有匿名网络出口。综合：无致命红线，但敏感数据边界、确认机制、数据流披露均缺失，给 5 分。
维护活跃度 11/20: 可见证据：MIT 许可证已包含，仓库未归档，451 stars、9 个未关闭 issue、Topics 完整、README 有多语言版本（26 种语言）与 CHANGELOG/CONTRIBUTING 链接，说明有持续投入与规范的贡献入口。但静态审查无法验证真实的发布节奏、commit 频率、issue 响应时效、依赖更新策略；未见 SECURITY.md 或安全响应渠道说明；版本节奏仅通过 npm 徽章体现，无版本化/发布流程细节；AUTHORS/归属仅以 badchars 组织名义出现，所有权与治理信息不明确。得分扣项：无可见的发布与安全响应流程、无依赖更新证据、issue 积压状态未知。给 11 分。
文档质量 14/20: 文档质量是本项目最突出的维度：README 提供多语言入口、清晰的动机对比表、Quick Start 的 npx 与 clone 两条路径、逐项环境变量说明（含默认值 127.0.0.1:9050）、面向 Claude Code / Claude Desktop / Cursor 等主流客户端的配置示例、Tor 安装（brew/apt/Docker）与 --check-tor 验证、CLI 直接调用示例、按数据源分组的 66 工具参数说明表、每源认证与速率限制表、架构目录树与设计决策、以及 Limitations 章节明确披露付费密钥、Tor 依赖、仅支持比特币、PhishTank 滞后、Windows 未测试。扣分项：只有单层 README，未发现独立 API/参数级参考、未给出逐工具返回结构示例、错误信息与故障排查（troubleshooting）覆盖不足，工具参数仅有描述性表格而无 JSON schema 级别细节，cost 说明仅提及 HIBP 3.50 美元/月。给 14 分。
安装易用性 12/20: 安装路径清晰、步骤少：npx darknet-mcp-server 即可启动（免安装），或 clone 后 bun install；多数工具无需密钥即可用；Claude Code 提供一行命令，Claude Desktop 提供可直接粘贴的 JSON 配置，Cursor/Windsurf 说明同一格式。Tor 工具为可选，README 给出三平台安装命令与 --check-tor 自检。但存在若干脆弱点：运行时依赖 Bun（README 同时用 npx 与 bun，运行时归属略含混，徽章标 Bun）；需 16 个第三方数据源与可选密钥才能解锁部分工具；.onion 功能依赖外部 Tor 守护进程且未打包；README 自述 Windows 未测试，跨平台兼容性受限。静态校准下（无 CI 与测试证据）setup 上限 15，综合清晰但依赖外部代理与可选密钥，给 12 分。

静态评测 · 未实际运行收录于 2026-09-18

查看 FMRS 评分方法 →

选型与风险

能访问什么访问网络

适合谁

授权的安全评估、事件响应与威胁情报团队
需要把多源情报关联到单次对话中的 AI 代理工作流
希望在无 API 密钥情况下获得勒索软件与泄露事件列表数据的分析师
已经在使用同系列 MCP 安全工具(hackbrowser-mcp、cve-mcp、osint-mcp-server 等)的用户

不适合谁

未获得授权即对第三方目标进行情报收集的用户
期望开箱即用全部工具(部分工具需要付费或申请 API 密钥)的用户
需要以太坊或门罗币区块链数据的用户(仅支持比特币)
需要在 Windows 上获得官方支持的用户(仅测试了 macOS / Linux)

所需权限

读取环境变量中的第三方 API 密钥(HIBP、IntelligenceX、OTX、AbuseIPDB、abuse.ch、Pulsedive、Hudson Rock、Vulners、Hybrid Analysis、PhishTank)
通过本机 SOCKS5 端口(默认 127.0.0.1:9050)与本机 Tor 守护进程通信
向 16 个外部数据源发起出站 HTTPS 请求
通过 npx / Bun 在本地安装并在 stdio 上运行进程

风险与副作用

暗网情报收集具有法律与合规敏感性,必须确保获得适当授权
Tor .onion 工具若未使用 socks5h 会造成 DNS 泄漏,本项目通过 socks5h 缓解,但用户仍需自行确认代理配置
API 密钥以明文环境变量存放,存在泄露到日志或配置文件的可能
若无本地 Tor 守护进程,Tor 相关工具将不可用
免费层速率限制较低,批量查询可能触发限流
上游数据源(如 ransomware.live、RansomLook、PhishTank)依赖抓取频率,数据可能滞后或不完整
所有外部数据源返回的内容均为不可信输入,不应作为指令执行

安装接入

准备工作

运行环境：Node.js · Bun · Docker

HIBP_API_KEY 可选密钥 HaveIBeenPwned API 密钥，启用泄露账户与贴文搜索（付费，$3.50/月），在 haveibeenpwned.com 获取。

INTELX_API_KEY 可选密钥 IntelligenceX API 密钥，启用 4 个泄露数据/暗网搜索工具，在 intelx.io 获取。

ABUSEIPDB_API_KEY 可选密钥 AbuseIPDB API 密钥，启用 4 个 IP 滥用查询工具，在 abuseipdb.com 获取。

HUDSONROCK_API_KEY 可选密钥 Hudson Rock Cavalier API 密钥，启用 3 个窃取日志搜索工具，在 cavalier.hudsonrock.com 获取。

HYBRID_API_KEY 可选密钥 Hybrid Analysis API 密钥，启用 3 个恶意软件沙箱分析工具，在 hybrid-analysis.com 获取。

VULNERS_API_KEY 可选密钥 Vulners API 密钥，启用漏洞/利用搜索功能，在 vulners.com 获取。

OTX_API_KEY 可选密钥 AlienVault OTX API 密钥，提高 OTX 速率限制，在 otx.alienvault.com 获取。

ABUSECH_AUTH_KEY 可选密钥 abuse.ch 认证密钥，提高 ThreatFox/URLhaus/MalwareBazaar 速率限制，在 abuse.ch 获取。

PULSEDIVE_API_KEY 可选密钥 Pulsedive API 密钥，提高指示器查询速率限制，在 pulsedive.com 获取。

PHISHTANK_API_KEY 可选密钥 PhishTank API 密钥，提高钓鱼 URL 查询速率限制，在 phishtank.org 获取。

其他可选配置项（2 个）

TOR_SOCKS_HOST 可选 Tor SOCKS5 代理主机地址，默认 127.0.0.1，用于 .onion 访问。

TOR_SOCKS_PORT 可选 Tor SOCKS5 代理端口，默认 9050，用于 .onion 访问。

方式一(无需安装):运行 npx darknet-mcp-server。免费工具立即可用,勒索软件追踪、泄露事件列表、GreyNoise、区块链、OTX 等无需 API 密钥。方式二(克隆):git clone https://github.com/badchars/darknet-mcp-server.git && cd darknet-mcp-server && bun install。可选环境变量:HIBP_API_KEY、INTELX_API_KEY、OTX_API_KEY、ABUSEIPDB_API_KEY、ABUSECH_AUTH_KEY、PULSEDIVE_API_KEY、HUDSONROCK_API_KEY、VULNERS_API_KEY、HYBRID_API_KEY、PHISHTANK_API_KEY,以及 Tor 代理配置 TOR_SOCKS_HOST(默认 127.0.0.1)与 TOR_SOCKS_PORT(默认 9050)。接入客户端:Claude Code 运行 claude mcp add darknet-mcp-server -- npx darknet-mcp-server,或使用本地克隆 claude mcp add darknet-mcp-server -- bun run /path/to/darknet-mcp-server/src/index.ts;Claude Desktop 在 claude_desktop_config.json 的 mcpServers 中加入 npx 启动配置;Cursor / Windsurf 使用相同 JSON 格式。若要使用 7 个 Tor 工具,需先运行本地 Tor SOCKS5 代理(macOS brew install tor && brew services start tor;Linux sudo apt install tor && sudo systemctl start tor;Docker docker run -d -p 9050:9050 dperson/torproxy),并用 npx darknet-mcp-server --check-tor 验证连通性。

.mcp.json

{
  "mcpServers": {
    "darknet": {
      "command": "npx",
      "args": ["-y", "darknet-mcp-server"],
      "env": {
        "HIBP_API_KEY": "optional",
        "INTELX_API_KEY": "optional",
        "ABUSEIPDB_API_KEY": "optional",
        "HUDSONROCK_API_KEY": "optional",
        "HYBRID_API_KEY": "optional",
        "VULNERS_API_KEY": "optional"
      }
    }
  }
}

以 Claude Code 为例。其他客户端的配置文件位置或字段可能不同（如 VS Code 使用 servers 字段），可用下方配置生成器转换。

.vscode/mcp.json

{
  "servers": {
    "darknet": {
      "command": "npx",
      "args": [
        "-y",
        "darknet-mcp-server"
      ],
      "env": {
        "HIBP_API_KEY": "optional",
        "INTELX_API_KEY": "optional",
        "ABUSEIPDB_API_KEY": "optional",
        "HUDSONROCK_API_KEY": "optional",
        "HYBRID_API_KEY": "optional",
        "VULNERS_API_KEY": "optional"
      }
    }
  }
}

写入项目的 .vscode/mcp.json（VS Code 使用 servers 字段）。

Terminal

claude mcp add darknet -e HIBP_API_KEY=optional -e INTELX_API_KEY=optional -e ABUSEIPDB_API_KEY=optional -e HUDSONROCK_API_KEY=optional -e HYBRID_API_KEY=optional -e VULNERS_API_KEY=optional -- npx -y darknet-mcp-server

在终端运行；先把 <…> 占位符换成你自己的值。

生成并校验客户端配置

验证是否装好

运行 npx darknet-mcp-server --check-tor 检查 Tor 代理，或在客户端工具列表中确认出现 darknet_list_sources、breachList 等工具；也可直接运行 npx darknet-mcp-server --list 查看全部 66 个工具。

常见排障

Tor 工具报错时,先运行 `npx darknet-mcp-server --check-tor` 检查 SOCKS5 代理连通性
确认 TOR_SOCKS_HOST / TOR_SOCKS_PORT 与实际 Tor 监听端口一致(默认 127.0.0.1:9050)
工具返回“请设置 XXX_API_KEY”类错误时,说明该工具需要对应密钥,属预期的优雅降级
使用 `npx darknet-mcp-server --list` 查看全部工具,用 `--tool <名称> '<JSON参数>'` 单独调试某个工具
遇到限流时配置 ABUSECH_AUTH_KEY、OTX_API_KEY、PULSEDIVE_API_KEY 等以提高配额
在 MCP 客户端中看不到工具时,确认命令为 `npx darknet-mcp-server` 或本地 `src/index.ts` 路径正确

试试这样问

连接成功后，可以直接对 AI 助手这样说：

查询 example.com 是否出现在已知数据泄露中，并搜索相关的窃取日志记录
列出最近针对医疗行业的勒索软件受害者和活跃组织
搜索 .onion 网站上关于 AcmeCorp 的讨论和市场列表
分析这个文件哈希的恶意指标：abc123def456 并关联 ThreatFox 和 OTX 的情报

工具能力 66

tor_status 只读

检查本地 Tor SOCKS5 代理守护进程是否正在运行并可访问

tor_fetch_onion 只读

通过 Tor SOCKS5 代理获取 .onion URL 的原始 HTML(使用 socks5h 防止 DNS 泄漏)

tor_scrape_onion 只读

获取并解析 .onion 站点,返回结构化数据:标题、链接、正文文本

tor_search_onion 只读

使用 Ahmia.fi 搜索引擎搜索 .onion 站点

tor_exit_nodes 只读

从 Tor Project 官方批量出口节点列表获取当前 Tor 出口节点 IP 地址

tor_exit_check 只读

检查指定 IP 地址是否为已知 Tor 出口节点

tor_exit_details 只读

获取 Tor 出口节点的详细信息,包括指纹与发布时间戳

ransomwareRecent 只读

从 ransomware.live 获取最新的勒索软件受害者信息

展开其余 58 个工具

ransomwareGroups 只读

列出 ransomware.live 追踪的所有已知勒索软件组织

ransomwareGroup 只读

按名称获取特定勒索软件组织的详细画像

ransomwareGroupVictims 只读

获取特定勒索软件组织声称的所有受害者

ransomwareSearch 只读

按关键词(公司名、域名等)搜索勒索软件受害者

ransomwareByCountry 只读

按 ISO 3166-1 alpha-2 国家代码筛选勒索软件受害者

ransomwareBySector 只读

按行业/领域(医疗、金融等)筛选勒索软件受害者

ransomlookGroups 只读

列出 RansomLook 追踪的 582+ 个勒索软件组织

ransomlookRecent 只读

从 RansomLook 获取最新的勒索软件帖子与受害声称

breachList 只读

列出 HaveIBeenPwned 中所有已知数据泄露事件,可按域名筛选 — 免费

breachGet 只读

按名称获取特定数据泄露事件的详情 — 免费

breachLatest 只读

获取最近新增的数据泄露事件 — 免费

breachDataClasses 只读

列出 HIBP 已知的所有数据类别(被泄露数据的类型)— 免费

breachPassword 只读

检查密码是否出现在已知泄露中(采用 k-匿名,仅发送 5 位 SHA-1 前缀)— 免费

breachSearch 只读

在全部泄露事件中搜索特定账户(邮箱/用户名)— 需要 HIBP_API_KEY

breachPastes 只读

在公开粘贴内容中搜索指定邮箱地址 — 需要 HIBP_API_KEY

threatfoxGetIocs 只读

获取 ThreatFox 最近 N 天上报的 IOC

threatfoxSearch 只读

按 IP、域名、哈希或 URL 搜索 ThreatFox IOC

threatfoxTag 只读

按标签搜索 ThreatFox IOC(如 Cobalt Strike、Emotet)

threatfoxMalware 只读

按 Malpedia 命名的恶意软件家族搜索 ThreatFox IOC

urlhausLookup 只读

在 URLhaus 中查询 URL 或主机是否用于恶意软件分发

urlhausTag 只读

按标签搜索 URLhaus 条目

bazaarHash 只读

按 MD5、SHA1 或 SHA256 哈希在 MalwareBazaar 中查询恶意软件样本

bazaarRecent 只读

获取 MalwareBazaar 最新提交的恶意软件样本

bazaarTag 只读

按标签或 YARA 签名名称搜索 MalwareBazaar

otx_ip 只读

查询 IP 地址的威胁情报 — pulse 信息、信誉、国家、ASN

otx_domain 只读

查询域名的威胁情报 — pulse 信息、whois、信誉

otx_hash 只读

查询文件哈希(MD5、SHA1、SHA256)的威胁情报

otx_cve 只读

查询 CVE 的威胁情报 — 相关 pulse 与指标

otx_search_pulses 只读

按关键词搜索 OTX 威胁 pulse

abuseipdb_check 只读

检查 IP 地址的滥用报告 — 置信度评分、ISP、国家、报告数量

abuseipdb_reports 只读

获取某个 IP 的逐条滥用报告,含详细评论与类别

abuseipdb_blacklist 只读

获取 AbuseIPDB 中被举报最多的恶意 IP 黑名单

abuseipdb_check_block 只读

检查整个 CIDR 网段的滥用报告

greynoise_ip 只读

在 GreyNoise 查询 IP — 分类(良性/恶意/未知)、扫描器状态

greynoise_check 只读

快速检查:该 IP 是否为已知扫描器或已知良性服务

pulsedive_indicator 只读

查询指标(IP、域名、URL 或哈希)— 风险等级、威胁、feed

pulsedive_search 只读

按值搜索 Pulsedive 指标

pulsedive_explore 只读

使用高级查询探索关联指标(带风险等级的相关 IOC)

stealer_domain 只读

按域名搜索窃密日志条目 — 受感染机器、凭据、恶意软件详情

stealer_email 只读

按邮箱地址搜索窃密日志 — 浏览器凭据中含该邮箱的受感染机器

stealer_ip 只读

按 IP 地址搜索窃密日志 — 来自该 IP 的受感染机器

vulners_search 只读

使用 Lucene 查询搜索 Vulners 漏洞数据库

vulners_id 只读

按 ID(CVE、EDB、GHSA)查询特定漏洞或漏洞利用 — 免费

vulners_exploit 只读

专门搜索漏洞利用(ExploitDB 条目)

btc_address 只读

查询比特币地址 — 余额、交易数量、近期交易

btc_balance 只读

以聪为单位获取比特币地址余额(无需完整历史记录的快查)

btc_tx 只读

按哈希获取比特币交易详情 — 输入、输出、手续费、区块信息

btc_abuse_check 只读

在 ChainAbuse 上检查比特币地址的滥用报告 — 带类别的诈骗举报

malware_search 只读

按文件哈希搜索 Hybrid Analysis 沙箱 — 判定结果、杀毒检测率、分析详情

malware_overview 只读

完整的恶意软件分析概览 — MITRE ATT&CK 技术、网络指标、进程

malware_feed 只读

获取最新恶意软件引爆 feed — 最近分析样本及判定结果

onion_lookup 只读

通过 CIRCL AIL 项目查询 .onion 地址元数据 — 首次/最后发现时间、状态、标签、证书、端口、BTC 地址

intelx_search 只读

在 IntelligenceX 上发起搜索,查找泄露数据、暗网内容等

intelx_search_results 只读

按 ID 获取 IntelligenceX 搜索结果

intelx_phonebook 只读

Phonebook 搜索 — 查找与关键词关联的邮箱、域名、URL

intelx_phonebook_results 只读

按 ID 获取 Phonebook 搜索结果

phishing_check 只读

通过 PhishTank 检查 URL 是否为已知钓鱼站点

darknet_list_sources 只读

列出所有可用数据源及其配置状态、API 密钥状态和工具数量

使用场景

评估某个域名或邮箱在已知数据泄露、粘贴内容和窃密日志中的暴露情况

按行业、国家或组织追踪勒索软件受害者与活跃组织

通过 Tor SOCKS5 代理抓取、解析和搜索 .onion 隐藏服务

对文件哈希进行恶意软件交叉分析:沙箱判定、样本库、IOC 与威胁 pulse

查询 IP 的滥用报告、扫描器状态与信誉情报

追踪比特币地址余额、交易以及诈骗举报

检索漏洞与 ExploitDB 漏洞利用信息

支持客户端

Claude Code

Claude Desktop

Cursor

Windsurf

依据项目文档列出，未经本站实测。

详细介绍

darknet-mcp-server 是一个通过 Model Context Protocol (MCP) 向 AI 代理提供暗网与威胁情报能力的服务器,共包含 66 个工具、覆盖 16 个数据源。它将 Have I Been Pwned、IntelligenceX、AlienVault OTX、AbuseIPDB、abuse.ch(ThreatFox / URLhaus / MalwareBazaar)、GreyNoise、Pulsedive、Hudson Rock、Vulners、Blockchain.info、ChainAbuse、Hybrid Analysis、CIRCL AIL、Tor 网络等分散平台统一为一个 MCP 服务,让代理可以在一次对话中并行查询多个来源并关联数据,完成数据泄露调查、勒索软件追踪、暗网侦察、恶意软件分析和区块链溯源。基于 Bun + TypeScript 构建,采用 stdio 传输,通过 npx 即可零配置启动。