@antiylabs/iep-scan-mcp 0.1.1

package/README.md

@@ -0,0 +1,167 @@
+# @antiylabs/iep-scan-mcp
+
+安天 IEP 病毒检测 MCP 服务（stdio 传输）。让支持 MCP 的 AI 客户端直接调用
+`scan_file` / `scan_hash` 完成文件查毒与哈希黑白查询。
+
+> **平台支持：仅 Windows x64。** 扫描引擎 `MEngine.dll` 目前只提供 Windows 版本。
+>
+> **授权：`UNLICENSED`（专有软件，保留所有权利）。** 本软件包含安天专有的
+> 扫描引擎与病毒库，使用前请与安天确认你的使用场景是否获得授权。
+>
+> **联网提示：** 扫描引擎自带云查能力，会将文件特征上送安天云端判定。
+> 「病毒库随包分发」不等于「不联网」，详见下文运行机制一节。
+
+---
+
+## 安装
+
+```bash
+npm install -g @antiylabs/iep-scan-mcp --registry http://10.255.40.162:4873/
+```
+
+> 本包发布在**内网私有源**，不在公共 npmjs.com 上，所以必须带 `--registry`。
+> 嫌每次都带麻烦，可以绑一次 scope：
+> ```bash
+> npm config set @antiylabs:registry http://10.255.40.162:4873/
+> ```
+> 绑定后才能用 `npx -y @antiylabs/iep-scan-mcp`，否则 npx 会去公共源找、报 404。
+
+安装包内已包含扫描引擎 `MEngine.dll` 与病毒库。
+**不需要**管理员权限，**不需要**预先安装常驻服务。
+
+---
+
+## 客户端配置
+
+在 MCP 客户端里以 stdio 方式接入：
+
+```jsonc
+{
+  "mcpServers": {
+    "antiy-iep-scan": {
+      "command": "cmd",
+      "args": ["/c", "iep-scan-mcp"]
+    }
+  }
+}
+```
+
+> **Windows 上必须用 `cmd /c` 包一层。** npm 装的是 `.cmd` 批处理，
+> 而 Node 18+ 出于安全（CVE-2024-27980）不允许直接 spawn `.cmd`。
+> 实测 `"command": "iep-scan-mcp"` 会报 `ENOENT`，
+> 直接指向 `.cmd` 文件会报 `EINVAL`。
+
+也可以直接指向 JS 入口（不依赖 PATH）：
+
+```jsonc
+{
+  "mcpServers": {
+    "antiy-iep-scan": {
+      "command": "node",
+      "args": ["C:\\Users\\<用户名>\\AppData\\Roaming\\npm\\node_modules\\@antiylabs\\iep-scan-mcp\\bin\\iep-scan-mcp.js"]
+    }
+  }
+}
+```
+
+---
+
+## 提供的工具
+
+### `scan_file` —— 扫描本地文件
+
+- 入参：`path`（文件绝对路径）
+- 出参：`state`、`result`、`message`、`cloud_time`、`items[]`
+- 是否中毒看 `items[].virus_info.attrib`：**3=黑(病毒)**、2=白、4=未知、5=过滤、1=错误；
+  `virus_info.virus_name` 为病毒名。
+
+### `scan_hash` —— 按 MD5 做黑白查询
+
+- 入参：`hash`（文件 MD5）
+- 出参：`is_infected`、`virus_name`、`state`
+
+> `state` 为 `ready` 时结果才可信。`initializing` / `updating` / `error` 表示引擎未就绪，
+> 此时按**保守策略放行**（返回未感染），避免误拦。
+
+---
+
+## 运行机制
+
+- 首次启动时，包内的引擎与病毒库会被复制到用户数据目录（约 150 MB，需要几秒；
+  期间扫描返回 `initializing`，稍后重试即可）。
+- **病毒库随包分发，不联网检查更新。** 它是发版时的快照——包发布越久，库越旧；
+  需要更新病毒库时请升级本包。
+- **但扫描引擎自身带云查、会联网**：返回结果里的 `cloud_time` 即云查耗时，
+  部分样本正是靠云查模块识别的。「离线」只指病毒库不更新，不等于不外联；
+  云查是引擎内部行为，本封装层无法关闭。网络隔离场景需在防火墙层面限制。
+- 若本机已安装安天 EDR（≥ 5.0.6.2），直接复用 EDR 自带病毒库。
+
+### 数据目录
+
+引擎、病毒库与日志都写在用户目录下，不在 npm 包目录内（包目录只读且会被覆写）：
+
+| 平台 | 路径 |
+|------|------|
+| Windows | `%APPDATA%\AntiyIepScanMcp\` |
+
+目录结构：
+
+```
+%APPDATA%\AntiyIepScanMcp\
+├── tools\virus_scan\
+│   ├── MEngine.dll      引擎库（首次运行自包内复制）
+│   ├── base_plugins\ …  引擎插件目录（同上）
+│   └── avl\             独立病毒库（随包分发）
+└── logs\
+    └── AntiyIepScanMcp.log
+```
+
+### 环境变量
+
+| 变量 | 作用 |
+|------|------|
+| `IEPSCAN_DATA_DIR` | 覆盖数据目录（病毒库与日志） |
+
+### 命令行参数
+
+启动器会把参数透传给底层可执行文件：
+
+```bash
+iep-scan-mcp --data-dir D:\iepscan-data --log-level debug
+```
+
+| 参数 | 默认 | 作用 |
+|------|------|------|
+| `--data-dir` | 用户数据目录 | 覆盖病毒库与日志目录 |
+| `--log-level` | `info` | `debug` / `info` / `warn` / `error` |
+| `--log-max-size-mb` | `10` | 单个日志文件上限 |
+| `--log-max-files` | `5` | 日志保留份数 |
+
+---
+
+## 排查
+
+| 现象 | 处理 |
+|------|------|
+| 扫描结果总是「未感染」 | 看返回的 `state`；非 `ready` 说明引擎未就绪，查日志 |
+| 首启扫描返回 `initializing` | 引擎与病毒库正在复制到数据目录，稍后重试 |
+| 日志报 `Init failed, code 4294967292`(-4) | `AntiyScan.exe` 起不来。先确认没有残留的 `AntiyScan.exe` 进程，再删掉数据目录重试 |
+| 日志报 `Init failed, code 4294967293`(-3) | 引擎资产不完整（缺 `AntiyScan.exe`），请重装本包 |
+| 病毒库太旧 | 本包的病毒库是发版快照、不自动更新；升级本包即可 |
+| 其他问题 | 看 `%APPDATA%\AntiyIepScanMcp\logs\AntiyIepScanMcp.log`，或加 `--log-level debug` |
+
+---
+
+## 与常驻服务版的区别
+
+本包是**进程内**运行：每次客户端启动都会拉起一个独立进程，自带引擎与病毒库副本。
+
+| 项 | 本包（stdio） | 常驻服务版 |
+|----|--------------|-----------|
+| 引擎实例 | 每个客户端进程一份 | 全机一份 |
+| 病毒库 | 随包分发，**不自动更新** | 每 24 小时自动更新 |
+| 管理员权限 | 不需要 | 安装/卸载需要 |
+| 鉴权 | 不需要（进程间管道） | Bearer Token |
+
+需要整机共享引擎实例、或需要病毒库自动保持最新，请改用常驻服务版
+`AntiyIepScanMcp`（Windows 服务 + Streamable HTTP 接口）。

package/bin/ACurlData.dat

@@ -0,0 +1,2 @@
+[UseChunked]
+value=1

package/bin/ATEngine

@@ -0,0 +1,167 @@
+{
+	"engine" : 
+	[
+		{
+			"enable" : 1,
+			"lib" : "fmt_engine.dll",
+			"name" : "fmtfilter",
+			"policy" : 
+			{
+				"black" : 1,
+				"filter" : 0,
+				"unknown" : 1,
+				"white" : 1
+			},
+			"priority" : 10
+		},
+		{
+			"enable" : 1,
+			"lib" : "cat_engine.dll",
+			"name" : "cat",
+			"policy" : 
+			{
+				"black" : 1,
+				"filter" : 0,
+				"unknown" : 1,
+				"white" : 0
+			},
+			"priority" : 9
+		},
+		{
+			"enable" : 1,
+			"lib" : "CloudBlack_Engine.dll",
+			"name" : "CloudBlack",
+			"policy" : 
+			{
+				"black" : 0,
+				"filter" : 1,
+				"unknown" : 1,
+				"white" : 0
+			},
+			"priority" : 8
+		},
+		{
+			"enable" : 1,
+			"lib" : "PathCache_Engine.dll",
+			"name" : "pathcache",
+			"policy" : 
+			{
+				"black" : 1,
+				"filter" : 1,
+				"unknown" : 1,
+				"white" : 1
+			},
+			"priority" : 7
+		},
+		{
+			"condition" : 
+			{
+				"content" : 
+				[
+					{
+						"name" : "PATHCACHE_MODULE",
+						"result" : 
+						[
+							5,
+							0
+						],
+						"type" : "engine"
+					}
+				],
+				"policy" : "and"
+			},
+			"enable" : 1,
+			"lib" : "avl_engine.dll",
+			"name" : "avl",
+			"policy" : 
+			{
+				"black" : 1,
+				"filter" : 0,
+				"unknown" : 1,
+				"white" : 0
+			},
+			"priority" : 6
+		},
+		{
+			"enable" : 1,
+			"lib" : "white_engine.dll",
+			"name" : "white",
+			"policy" : 
+			{
+				"black" : 1,
+				"filter" : 1,
+				"unknown" : 1,
+				"white" : 0
+			},
+			"priority" : 5
+		},
+		{
+			"enable" : 1,
+			"lib" : "customcache_engine.dll",
+			"name" : "customcache",
+			"policy" : 
+			{
+				"black" : 1,
+				"filter" : 0,
+				"unknown" : 1,
+				"white" : 1
+			},
+			"priority" : 4
+		},
+		{
+			"enable" : 1,
+			"lib" : "Yara_Engine.dll",
+			"name" : "yara",
+			"policy" : 
+			{
+				"black" : 1,
+				"filter" : 0,
+				"unknown" : 1,
+				"white" : 1
+			},
+			"priority" : 3
+		},
+		{
+			"condition" : 
+			{
+				"content" : 
+				[
+					{
+						"name" : "PATHCACHE_MODULE",
+						"result" : 
+						[
+							5,
+							0
+						],
+						"type" : "engine"
+					}
+				],
+				"policy" : "and"
+			},
+			"enable" : 1,
+			"lib" : "cloud_engine.dll",
+			"name" : "cloud",
+			"policy" : 
+			{
+				"black" : 1,
+				"filter" : 1,
+				"unknown" : 1,
+				"white" : 1
+			},
+			"priority" : 2
+		},
+		{
+			"enable" : 1,
+			"lib" : "vfilter_engine.dll",
+			"name" : "vfilter_engine",
+			"policy" : 
+			{
+				"black" : 1,
+				"filter" : 1,
+				"unknown" : 1,
+				"white" : 1
+			},
+			"priority" : 1
+		}
+	]
+}

package/bin/ATEngine.ini

@@ -0,0 +1,7 @@
+[Fmt]
+IepFmt=1
+;������ǿ�ƿ������и�ʽɨ��,ǿ�ƹر�����ǩ��У��,ǿ�ƹر�avlc,�����ͼ��Ⱦʽ�����(�ͷ��ͼ��������û����)
+[tianjin]
+value=0
+[filemapping]
+value=1

package/bin/AntiyScan.ini

@@ -0,0 +1,20 @@
+[plugin]
+;�����������Ŀ¼(exe���·��)����Ŀ¼�µ����в����������
+base_plugins_path=base_plugins
+;ҵ��������Ŀ¼(exe���·��)��Ĭ��exeͬ��Ŀ¼
+business_plugins_path=./business_plugins/
+;ҵ����(�����,�ָ�)
+business_plugins=RpcX3.plg
+
+[exe]
+;applicationΪ����̨Ӧ�ó���serviceΪ����
+type=application
+
+;������������
+[service]
+;������
+name=AtExe test service name
+;������ʾ��
+display=AtExe test service display name
+;��������
+description=AtExe���Է���ʾ��

package/bin/AtRiskDetection.ini

@@ -0,0 +1,4 @@
+[address]
+value=ddd
+[test]
+value=1

package/bin/AvlFormat.ini

@@ -0,0 +1,87 @@
+[ID]
+value1  = 167	elf
+value2  = 182,164,43	apk
+value3  = 23,162,158,22,325,322,309,275,262,261,260,259,258,257,256,254,253,252,251,250,249,248,247,190,182,175,173,171,170,169,168,167,166,165,164,81	pe
+value4  = 145,146,183,179,185,181,184,180,320,318,188,189	office
+value5  = 75,198,202,203,204,205,206,207,208,209	pdf
+value6  = 79	RTF
+value7  = 12,13,210	swf
+value8  = 157,177,279,280,255,246,245,244,242,226,178,314	JAVASCRIPT
+value9  = 49,192	JAVA
+value10 = 29	CHM
+value11 = 152,154	ISO_IEC
+value12 = 20	PNG
+value13 = 357	SoftData/FineCrypt.FCP
+value14 = 193	tar
+
+[HERUID]
+value1  = 1	BinExecute/Microsoft.EXE[:X86]
+value2  = 2	BinExecute/Microsoft.EXE[:X64]
+value3  = 3	BinExecute/Microsoft.DLL[:X86]
+value4  = 4	BinExecute/Microsoft.DLL[:X64]
+value5  = 5	BinExecute/Microsoft.SYS[:X86]
+value6  = 6	BinExecute/Microsoft.SYS[:X64]
+value7  = 7	Text/W3C.HTML
+value8  = 8	Script/Netscape.JS[:JavaScript]
+value9  = 9	Script/Microsoft.VBS[:VBScript]
+value10 = 10	Text/MIME.EMAIL
+
+[PE]
+value1 = BinExecute/Microsoft.EXE[:X86]
+value2 = BinExecute/Microsoft.EXE[:X64]
+value3 = BinExecute/Microsoft.DLL[:X86]
+value4 = BinExecute/Microsoft.DLL[:X64]
+value5 = BinExecute/Microsoft.SYS[:X86]
+value6 = BinExecute/Microsoft.SYS[:X64]
+
+; ȫ���ĵ�ɨ���ʽ
+[OFFICE]
+value1 = Document/Microsoft.DOCX[:Word 2007-2012]
+value2 = Document/Microsoft.XLSX[:Excel 2007-2012]
+value3 = Document/Microsoft.PPTX[:PowerPoint 2007-2012]
+value4 = Document/Microsoft.DOC[:Word 98-2003]
+value5 = Document/Microsoft.XLS[:Excel 98-2003]
+value6 = Document/Microsoft.PPT[:PowerPoint 98-2003]
+value7 = Document/Microsoft.VSD[:Visio]
+value8 = Document/Microsoft.MPP[:Project]
+value9 = Document/Microsoft.PUB[:Publisher]
+
+; ȫ���ĵ���ɨ�������ѡ���ѡ�ֻɨ���ĵ������и�ʽѹ����
+[ZIP]
+value1  = Archive/Robert_Jung.ARJ
+value2  = Archive/Red_Hat.RPM
+value3  = Archive/Spencer_Thomas.Z[:Compress]
+value4  = Archive/Julian_Seward.BZ2
+value5  = Archive/Jean_Loup_Gailly.GZ[:Gzip]
+value6  = Archive/Microsoft.CAB[:Cabinet]
+value7  = Archive/Phil_Katz.ZIP
+value8  = Archive/ISO9660.ISO[:ISO image]
+value9  = Archive/Eugene_Roshal.RAR[:Roshal ARchive]
+value10 = Archive/The_Tukaani_Project.XZ
+value11 = Archive/Igor_Pavlov.7Z
+value12 = Archive/Debian.DEB[:Debian package]
+value13 = Archive/Sun.JAR[:Java ARchive]
+value14 = Archive/GNU.TAR
+
+[CACHE]
+value1 = BinExecute/Microsoft.EXE[:X86]
+value2 = BinExecute/Microsoft.EXE[:X64]
+value3 = BinExecute/Microsoft.DLL[:X86]
+value4 = BinExecute/Microsoft.DLL[:X64]
+value5 = BinExecute/Microsoft.SYS[:X86]
+value6 = BinExecute/Microsoft.SYS[:X64]
+
+[FMT]
+value1 = Document/
+value2 = Text/
+value3 = Script/
+value4 = BinExecute/
+value5 = Archive/
+
+[CLOUD]
+value1 = Document/
+value2 = Text/
+value3 = Script/
+value4 = BinExecute/
+value5 = Archive/
+value6 = Text/ISO_IEC

package/bin/Avl_Engine.ini

@@ -0,0 +1,34 @@
+[config]
+fmtcfg=FmtAndDs
+scancfg1=ScanMode
+scancfg2=ScanMode
+[maxsize]
+value=100
+[scancfg1]
+unpkg=1
+pkglevel=5
+[scancfg2]
+unpkg=0
+pkglevel=5
+[DsFilter]
+ATScan=1
+RpcScan=0
+[spinstall]
+value1=Archive/Red_Hat.RPM
+value2=Archive/Debian.DEB[:Debian package]
+value3=BinExecute/Google.APK
+value4=Archive/Microsoft.MSI
+[sfxtype]
+;name1=Sfx
+name1=Install
+type1=zlib,rar,rar5,zip,cab,7z
+name2=Install
+type2=rpm,de,nsis,wse,inno,instalshield,setupactoy,instyler,ghostinsta,setup2go,smartinstal,vise,instalcreator,tama,autoit,quickbatch,douyou,yinginstall,apk,appx
+name3=Other
+type3=Microsoft Script Encoder,binhex,mso,uue,xxe,Enc
+[SplitPEUnderlayEnable]
+avl1=atscan,rpcscan
+avl2=
+[switch]
+avl1=atscan,rpcscan,exatengine
+avl2=rpcscan

package/bin/CEngine.dat

@@ -0,0 +1,16 @@
+[File]
+avlcsdk = \avlcsdk\AVLCSDK.so
+cfg = \avlcsdk\config\avlc.ct
+data = \avlcsdk\data
+ndata = \avlcsdk\ndata
+mod = \avlcsdk\module
+license = \avlcsdk\license.alf
+
+[Scan]
+LogEnable = 0
+MaxSize = 524288000
+
+[Mod]
+Dc=0
+Shell=0
+Sfx=0

package/bin/Engine.dat

@@ -0,0 +1,29 @@
+[File]
+avlsdk = _BASEPATH_\avl\AVLSDK.so
+TranserSdk = _BASEPATH_\avl\aid2name.so
+ScanMode = _BASEPATH_\avl\Config\high_scan.ct
+ScanModeMini = _BASEPATH_\avl\Config\high_scan_mini.ct
+ScanModeDs = _BASEPATH_\avl\Config\avl.conf
+FmtAndDs = _BASEPATH_\avl\Config\identify.ct
+Afd = _BASEPATH_\avl\Config\afd.ct
+
+[Path]
+DataBase = _BASEPATH_\avl\Data
+NameBase = _BASEPATH_\avl\NData
+Module = _BASEPATH_\avl\Module
+Tmp = _BASEPATH_\avl\Tmp
+Log = _BASEPATH_\avl\Log\
+
+[Scan]
+LogEnable = 0
+VCSEnable = 0
+ASDroidEnable =0
+ASScriptEnable =0
+ASEXPLOITEnable = 1
+DsEnable = 1
+MaxSize=524288000
+MaxMem=624288000
+ApackRecureLayer = 6
+Duplicate = 1
+AllMod=0
+White=0

package/bin/PathCache_Engine.ini

@@ -0,0 +1,10 @@
+[attrib]
+white=1
+black=0
+unknown=1
+[expire]
+white=720
+black=24
+unknown=24
+[cache]
+se=1

package/bin/RiskCheck.ini

@@ -0,0 +1,20 @@
+[plugin]
+;�����������Ŀ¼(exe���·��)����Ŀ¼�µ����в����������
+base_plugins_path=base_plugins
+;ҵ��������Ŀ¼(exe���·��)��Ĭ��exeͬ��Ŀ¼
+business_plugins_path=./business_plugins/
+;ҵ����(�����,�ָ�)
+business_plugins=RiskRpcX3.plg
+
+[exe]
+;applicationΪ����̨Ӧ�ó���serviceΪ����
+type=application
+
+;������������
+[service]
+;������
+name=AtExe test service name
+;������ʾ��
+display=AtExe test service display name
+;��������
+description=AtExe���Է���ʾ��