mlab-sh

mlab-sh проверяет индикаторы компрометации и ищет уязвимости прямо из ассистента

От сообществаРаботаетБез входаГлобальныйБесплатноТолько чтение

Что умеет

  • Проверять IP, домены, URL и хеши на признаки угроз
  • Искать уязвимости CVE и связанные с ними группировки
  • Сканировать SBOM на известные уязвимости
  • Оценивать риск фишинга по email, телефону или ссылке
  • Сохранять и просматривать историю сканирований

Какие данные видит

Ассистент действует от имени учётной записи организации с общей суточной квотой сканирований на всех участников.

Нужен ли аккаунт

Не нужен: сервер работает без входа

mlab-sh — MCP-сервер threat intelligence: обогащает индикаторы компрометации (IP, домены, URL, хеши), ищет CVE и группировки злоумышленников, сканирует SBOM на уязвимости. Подходит для быстрой проверки подозрительных объектов через ассистента.

Как подключить

Как подключить mlab-sh к Claude

Адрес сервера, который нужно вставить в настройках Claude:

https://mlab-sh--mlab.run.tools

  1. Откройте Claude (сайт claude.ai или приложение для компьютера).
  2. Перейдите в Настройки → Коннекторы (в английском интерфейсе: Settings → Connectors).
  3. Нажмите Добавить пользовательский коннектор (Add custom connector).
  4. Вставьте адрес сервера, скопированный ниже, в поле URL удалённого MCP-сервера и нажмите Добавить.
  5. В чате нажмите + → Коннекторы и включите новый коннектор.

Пользовательские коннекторы доступны на тарифах Free, Pro, Max, Team и Enterprise. На Free можно добавить только один. В Team и Enterprise коннектор сначала добавляет владелец организации в Настройки организации → Коннекторы.

Авторизация

После нажатия Добавить откроется окно входа в сервис. Войдите под своим аккаунтом и подтвердите доступ. Пароль Claude не видит.

Как подключить mlab-sh к ChatGPT

Адрес сервера, который нужно вставить в настройках ChatGPT:

https://mlab-sh--mlab.run.tools

  1. Откройте ChatGPT в браузере (chatgpt.com). Нужен тариф Plus, Pro, Business, Enterprise или Edu.
  2. Один раз включите режим разработчика: Настройки → Приложения → Дополнительные настройки → Режим разработчика (Settings → Apps → Advanced settings → Developer mode).
  3. Откройте Настройки → Коннекторы и нажмите Создать (Create).
  4. Заполните форму: Название (любое), Описание (одна фраза, что делает сервис), URL MCP-сервера (скопируйте ниже).
  5. В поле Аутентификация выберите OAuth, если сервис требует вход, иначе Нет. Нажмите Создать.
  6. В новом чате откройте + → Приложения/Коннекторы и включите коннектор.

Название раздела у OpenAI менялось (Connectors → Apps/Plugins). Если пункт называется иначе, ищите «режим разработчика» в настройках. В рабочих пространствах Business/Enterprise администратор должен разрешить пользовательские коннекторы.

Авторизация

При первом использовании ChatGPT откроет окно входа в сервис. Войдите и подтвердите доступ.

Как подключить mlab-sh к Cursor

Адрес сервера, который нужно вставить в настройках Cursor:

https://mlab-sh--mlab.run.tools

Быстрый способ: нажмите кнопку Открыть в Cursor ниже, Cursor сам предложит добавить сервер.

Вручную:

  1. В Cursor откройте Settings → Cursor Settings → MCP и нажмите Add new global MCP server.
  2. Вставьте JSON, скопированный ниже, в открывшийся файл ~/.cursor/mcp.json (для одного проекта: .cursor/mcp.json в корне проекта).
  3. Сохраните файл. Сервер появится в списке MCP; при необходимости пройдите авторизацию по кнопке рядом с ним.

Авторизация

Если сервис требует вход, рядом с сервером в списке MCP появится кнопка авторизации.

Список инструментов сервера (25)

Технические названия из tools/list. Нужны только разработчикам.

hello_worldReturns a greeting with your account information
get_account_infoReturns information about the authenticated user, their organization, and subscription plan
get_scan_limitsReturns the remaining scan quotas for your organization (IP, domain, file, and crypto scans). Limits are per-day and shared across all organization members.
get_scan_historyReturns the recent scan history for your account. Optionally filter by scan type (ip, domain, file) and limit the number of results.
get_bookmarksReturns the saved scan bookmarks for your account (IPs, domains, and file hashes you bookmarked).
scan_ipLook up threat intelligence data for an IP address (IPv4 or IPv6). Returns geolocation, ISP, ASN, and reputation data. Results are cached and refreshed after 30 days.
start_domain_scanStart a domain scan. If a recent completed scan already exists it returns the results immediately. Otherwise it launches the scan and returns {"status": "started"} — you should then call get_domain_scan_results to retrieve results once ready.
get_domain_scan_resultsGet the results of a domain scan started with start_domain_scan. If status is 'pending' or 'scanning', the scan is still running — call this tool again in a few seconds until status is 'completed'. Returns DNS records, subdomains, SSL certificates, security.txt, and robots.txt.
add_bookmarkSave an IP address, domain, or file hash to your bookmarks.
remove_bookmarkRemove an IP address, domain, or file hash from your bookmarks.
detect_iocAuto-detect the type of an indicator of compromise (IOC) and return relevant threat intelligence. Supports: IPv4, IPv6, CIDR ranges, domains, URLs, file hashes (MD5/SHA1/SHA256/SHA512), email addresses, MAC addresses. For IPs it returns geolocation and reputation data. For domains it returns the detected type without scanning (use start_domain_scan for a full scan). For hashes, it identifies the hash type.
scan_cryptoLook up threat intelligence for a blockchain address. Returns labels, sanctions status, risk scoring, and address type. Supports EVM chains (ETH, BSC, Polygon, Arbitrum, etc.), Bitcoin, Tron, Solana, TON, and Dogecoin.
cve_searchSearch CVEs by keyword, product, vendor, or CVE ID. Supports filtering by severity (CRITICAL/HIGH/MEDIUM/LOW) and publication date range. Returns CVSS scores, descriptions, affected products, EPSS scores, and KEV status.
cve_detailRetrieve the full record for a specific CVE by its ID (e.g. CVE-2024-3094). Returns CVSS vector breakdown, affected products, references, CWE weaknesses, EPSS exploitation probability, and CISA KEV status.
get_actorRetrieve the full record for a specific threat actor by its slug (e.g. 'apt28', 'lazarus-group'). Returns the actor profile (description, suspected origin, motivations, targeted countries and sectors, TLP, first seen), known aliases, CVEs exploited by the actor, tools and techniques attributed to it, external references, and bibliography.
actors_by_cveReverse lookup: list every threat actor known to exploit a given CVE. Returns each matching actor's slug, primary name, suspected origin, and the intelligence sources that link them to the vulnerability. Use this for attribution after triaging a CVE (e.g. from cve_detail or cve_search).
search_actorsSearch threat actors by name (free-text, case-insensitive substring match on primary name). Optionally narrow by suspected origin, motivation, or targeted sector. Returns matching actors with slug, primary name, suspected origin, motivations and targeted sectors. Use the returned slug with get_actor to fetch the full profile (including aliases).
scan_emailAnalyze an email address: mailbox type (disposable / role / consumer / standard), and — when the domain has a completed domain scan — its mail spoofability verdict (SPF/DKIM/DMARC), MX presence and domain age. Offline lookup, no scan quota consumed.
scan_phoneAnalyze a phone number (E.164 form, e.g. +33612345678): validity, country/region, line type (mobile/fixed/VoIP...), allocated operator, formatting, and scam-shape findings. Offline numbering-plan lookup, no scan quota consumed.
scan_macAnalyze a MAC address: vendor via OUI, unicast/multicast, universal/local administration, randomized/virtual interface detection, EUI-64 IPv6, and alternate formats. Pure offline lookup, no scan quota consumed.
scan_urlStatically analyze a URL without visiting it: scheme, host (with the Unicode/punycode form the victim actually sees), IP-literal host, credentials-in-URL, dangerous file extensions, known shorteners, and embedded redirect targets to pivot on. Returns phishing/abuse findings. Offline, no scan quota consumed.
scan_hashLook up a file hash (MD5, SHA1 or SHA256) in CIRCL hashlookup (NIST NSRL and other feeds) to tell whether it is a known-good legitimate binary, known-malicious, or unknown. Returns the matched source, product/file name and CIRCL trust score. Offline lookup, no scan quota consumed.
scan_bashStatically analyze a shell script (.sh) supplied inline: computes its sha256, extracts every IOC (URLs, IPs, domains, emails, hashes, wallets), and flags well-known suspicious constructs (download-piped-to-shell, base64 decode, /dev/tcp reverse shells, persistence, anti-forensics, destructive deletes). Nothing is executed or persisted. No scan quota consumed.
smishing_riskScore an SMS / text message for smishing (SMS phishing). Returns a 0-100 risk score, a band (clean/suspect/high/critical), a recommended filter action (allow/quarantine/drop), the weighted reasons behind the score, and the IOCs extracted from the message. `country` selects the keyword/brand pack (default: fr). Offline scorer, no scan quota consumed.
scan_sbomScan a dependency lockfile / SBOM for known vulnerabilities. Paste the raw lockfile content (e.g. Cargo.lock, package-lock.json, requirements.txt, go.sum, composer.lock, Gemfile.lock, or a CycloneDX SBOM) and get back the resolved packages and their OSV/CVE advisories. Parsing and matching happen server-side on vuln.mlab.sh — nothing is installed locally.