{"_id":"darknet-mcp-server","_rev":"2-67755541ea54c537d800afbaee7ff3da","name":"darknet-mcp-server","dist-tags":{"latest":"0.1.1"},"versions":{"0.1.0":{"name":"darknet-mcp-server","version":"0.1.0","keywords":["mcp","model-context-protocol","darknet","dark-web","threat-intelligence","tor","onion","breach","ransomware","malware","exploit","haveibeenpwned","threatfox","urlhaus","malwarebazaar","blockchain","bitcoin","stealer-logs","credential-leak","osint","cybersecurity","security","infosec","ai","ai-agent","claude","llm"],"author":{"url":"https://orhanyildirim.us","name":"Orhan Yildirim","email":"contact@orhanyildirim.us"},"license":"MIT","_id":"darknet-mcp-server@0.1.0","maintainers":[{"name":"orhnyldrm","email":"contact@orhanyildirim.us"}],"homepage":"https://github.com/badchars/darknet-mcp-server","bugs":{"url":"https://github.com/badchars/darknet-mcp-server/issues"},"bin":{"darknet-mcp-server":"dist/index.js"},"dist":{"shasum":"0c91caec72c7cce7814c867799694b549fc7111e","tarball":"https://registry.npmjs.org/darknet-mcp-server/-/darknet-mcp-server-0.1.0.tgz","fileCount":114,"integrity":"sha512-+aSk7+hE4/RLA85b9hf+h1UaVNwvBQ+4FbecG/sA+9x2zLVWTcmdNmeQfjPnpA6lPM/eZnrirY/bb0wjnlljyw==","signatures":[{"sig":"MEYCIQCzuyalRmwyC1LI0SShP4YY0Ewesly2icJ329HcgaCSLgIhANF2w05kl7wTMoiDG8IqTyWvaqYJFKZQ0w68tPrmM7Sd","keyid":"SHA256:DhQ8wR5APBvFHLF/+Tc+AYvPOdTpcIDqOhxsBHRwC7U"}],"unpackedSize":823656},"type":"module","gitHead":"eb698203c876697bd676cb46ba391e3638421a05","scripts":{"dev":"bun --watch run src/index.ts","build":"tsc -p tsconfig.build.json","prepublishOnly":"npm run build"},"_npmUser":{"name":"orhnyldrm","email":"contact@orhanyildirim.us"},"repository":{"url":"git+https://github.com/badchars/darknet-mcp-server.git","type":"git"},"_npmVersion":"10.9.3","description":"Dark web intelligence MCP server — HIBP, ThreatFox, ransomware tracking, Tor .onion access, blockchain intel, exploit search, stealer logs, malware analysis","directories":{},"_nodeVersion":"22.19.0","dependencies":{"zod":"^3.24.4","socks":"^2.8.3","cheerio":"^1.0.0","socks-proxy-agent":"^10.1.0","@modelcontextprotocol/sdk":"^1.12.1"},"_hasShrinkwrap":false,"devDependencies":{"@types/bun":"^1.3.10","typescript":"^5.8.2","@types/node":"^22.15.3"},"_npmOperationalInternal":{"tmp":"tmp/darknet-mcp-server_0.1.0_1782240350046_0.3293633565949572","host":"s3://npm-registry-packages-npm-production"}},"0.1.1":{"name":"darknet-mcp-server","version":"0.1.1","description":"Dark web intelligence MCP server — HIBP, ThreatFox, ransomware tracking, Tor .onion access, blockchain intel, exploit search, stealer logs, malware analysis","type":"module","bin":{"darknet-mcp-server":"dist/index.js"},"scripts":{"dev":"bun --watch run src/index.ts","build":"tsc -p tsconfig.build.json","prepublishOnly":"npm run build"},"keywords":["mcp","model-context-protocol","darknet","dark-web","threat-intelligence","tor","onion","breach","ransomware","malware","exploit","haveibeenpwned","threatfox","urlhaus","malwarebazaar","blockchain","bitcoin","stealer-logs","credential-leak","osint","cybersecurity","security","infosec","ai","ai-agent","claude","llm"],"author":{"name":"Orhan Yildirim","email":"contact@orhanyildirim.us","url":"https://orhanyildirim.us"},"license":"MIT","repository":{"type":"git","url":"git+https://github.com/badchars/darknet-mcp-server.git"},"homepage":"https://www.npmjs.com/package/darknet-mcp-server","dependencies":{"@modelcontextprotocol/sdk":"^1.12.1","cheerio":"^1.0.0","socks":"^2.8.3","socks-proxy-agent":"^10.1.0","zod":"^3.24.4"},"devDependencies":{"@types/bun":"^1.3.10","@types/node":"^22.15.3","typescript":"^5.8.2"},"_id":"darknet-mcp-server@0.1.1","gitHead":"b9d7d2966aeae03c907a2dffafb486752b260acf","bugs":{"url":"https://github.com/badchars/darknet-mcp-server/issues"},"_nodeVersion":"22.19.0","_npmVersion":"10.9.3","dist":{"integrity":"sha512-yCv7U5y0TU8QqAyEQr2r33wvf3l37wMui0hEVvBs4/veTzz69NWkzle/LCioEJW8vomypE47nQuz5jyL/6dIcQ==","shasum":"2491ace407cfd9fa0d2e5ad0d0e332dc84cb82ca","tarball":"https://registry.npmjs.org/darknet-mcp-server/-/darknet-mcp-server-0.1.1.tgz","fileCount":121,"unpackedSize":1105931,"signatures":[{"keyid":"SHA256:DhQ8wR5APBvFHLF/+Tc+AYvPOdTpcIDqOhxsBHRwC7U","sig":"MEUCIQCR2Nu/IJh8Mmo9nJYpmEd+raKRZ6gCzg6ey2NokmDtwwIgLIEtVo0S4aGARNIxRl1FF3AOdS3UInd/JQnuIj6YFqw="}]},"_npmUser":{"name":"orhnyldrm","email":"contact@orhanyildirim.us"},"directories":{},"maintainers":[{"name":"orhnyldrm","email":"contact@orhanyildirim.us"}],"_npmOperationalInternal":{"host":"s3://npm-registry-packages-npm-production","tmp":"tmp/darknet-mcp-server_0.1.1_1782244370280_0.15582359171677318"},"_hasShrinkwrap":false}},"time":{"created":"2026-06-23T18:45:49.790Z","modified":"2026-06-23T19:52:50.616Z","0.1.0":"2026-06-23T18:45:50.223Z","0.1.1":"2026-06-23T19:52:50.517Z"},"bugs":{"url":"https://github.com/badchars/darknet-mcp-server/issues"},"author":{"name":"Orhan Yildirim","email":"contact@orhanyildirim.us","url":"https://orhanyildirim.us"},"license":"MIT","homepage":"https://www.npmjs.com/package/darknet-mcp-server","keywords":["mcp","model-context-protocol","darknet","dark-web","threat-intelligence","tor","onion","breach","ransomware","malware","exploit","haveibeenpwned","threatfox","urlhaus","malwarebazaar","blockchain","bitcoin","stealer-logs","credential-leak","osint","cybersecurity","security","infosec","ai","ai-agent","claude","llm"],"repository":{"type":"git","url":"git+https://github.com/badchars/darknet-mcp-server.git"},"description":"Dark web intelligence MCP server — HIBP, ThreatFox, ransomware tracking, Tor .onion access, blockchain intel, exploit search, stealer logs, malware analysis","maintainers":[{"name":"orhnyldrm","email":"contact@orhanyildirim.us"}],"readme":"

\n English |\n 简体中文 |\n 繁體中文 |\n 한국어 |\n Deutsch |\n Español |\n Français |\n Italiano |\n Dansk |\n 日本語 |\n Polski |\n Русский |\n Bosanski |\n العربية |\n Norsk |\n Português (Brasil) |\n ไทย |\n Türkçe |\n Українська |\n বাংলা |\n Ελληνικά |\n Tiếng Việt |\n हिन्दी\n

\n\n

\n
\n \n \n \n \"darknet-mcp-server\"\n \n

\n\n

为 AI 代理提供暗网与威胁情报。

\n\n

\n HIBP、ThreatFox、勒索软件追踪、Tor .onion 访问、区块链情报、漏洞利用搜索、窃密日志、恶意软件分析 — 统一集成于单一 MCP 服务器。
\n 您的 AI 代理可按需获取全方位暗网情报，无需打开 16 个浏览器标签页手动关联数据。\n

\n\n
\n\n

\n 问题所在 •\n 与众不同 •\n 快速开始 •\n AI 能做什么 •\n 工具 (66) •\n 数据源 •\n 架构 •\n 更新日志 •\n 贡献指南\n

\n\n

\n \"npm\"\n \"License\"\n \"Bun\"\n \"MCP\"\n \"66\n \"16\n

\n\n

\n \"darknet-mcp-server\n

\n\n---\n\n## 问题所在\n\n暗网情报是每项安全调查中缺失的一环。泄露数据库、勒索软件追踪器、Tor 隐藏服务、恶意软件沙箱、窃密日志、区块链取证、漏洞利用数据库 — 您所需的数据分散在数十个平台上，每个平台有自己的 API、自己的认证方式、自己的速率限制、自己的输出格式。如今您需要在一个标签页查 HIBP，在另一个标签页查 ThreatFox，通过 Tor 浏览勒索软件泄露网站，在 MalwareBazaar 中查询哈希值，在区块浏览器上检查区块链交易，然后花一个小时手动将所有信息拼凑在一起。\n\n```\n传统暗网情报工作流：\n 检查泄露暴露 -> HIBP 网页界面（付费 API）\n 搜索泄露凭证 -> IntelligenceX 网页界面\n 追踪勒索软件组织 -> ransomware.live + ransomlook.io（2 个独立界面）\n 访问 .onion 隐藏服务 -> 手动使用 Tor 浏览器\n 分析恶意软件样本 -> Hybrid Analysis + MalwareBazaar（又 2 个界面）\n 检查 IP 滥用历史 -> AbuseIPDB + GreyNoise（又 2 个界面）\n 追踪加密货币 -> blockchain.info + ChainAbuse\n 搜索漏洞利用 -> Vulners 网页界面\n 检查钓鱼 URL -> PhishTank 网页界面\n 关联所有信息 -> 复制粘贴到报告中\n ────────────────────────────────\n 总计：每次调查 60+ 分钟，大部分时间在切换上下文\n```\n\n**darknet-mcp-server** 通过 [Model Context Protocol](https://modelcontextprotocol.io) 为您的 AI 代理提供横跨 16 个数据源的 66 个工具。代理并行查询所有数据源，跨表面网络和暗网关联数据，识别威胁，并在单次对话中呈现统一的情报全景。\n\n```\n使用 darknet-mcp-server：\n 您：\"调查 target.com 的泄露暴露和威胁态势\"\n\n 代理：-> HIBP：3 次已知泄露（Adobe 2013、LinkedIn 2021、Collection #1）\n -> ThreatFox：2 个与该域名关联的 IOC（C2 回调、钓鱼）\n -> URLhaus：子域名上托管的 1 个恶意 URL\n -> 勒索软件：未发现受害者列表（好消息）\n -> 窃密日志：发现 47 个被盗员工凭证\n -> OTX：5 个引用该域名的威胁脉冲\n -> AbuseIPDB：主 IP 有 12 条滥用报告（暴力破解）\n -> \"target.com 涉及 3 次数据泄露，暴露了 210 万条记录。\n 窃密日志中发现 47 个员工凭证 — 建议立即\n 重置密码。2 个活跃的 ThreatFox IOC 表明\n 正在遭受持续攻击。未发现勒索软件列表，但主 IP\n 的滥用报告值得调查。\"\n```\n\n---\n\n## 与众不同\n\n现有工具一次只能从一个数据源提供原始数据。darknet-mcp-server 赋予您的 AI 代理**同时推理表面网络和暗网情报**的能力。\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
传统方法darknet-mcp-server
界面16 个不同的网页界面、命令行和 APIMCP — AI 代理通过对话调用工具
数据源一次只能访问一个平台16 个数据源并行查询
泄露情报HIBP 网页界面查泄露，IntelligenceX 查泄漏代理整合 HIBP 泄露 + 粘贴 + IntelligenceX + 窃密日志
暗网访问手动使用 Tor 浏览器，从 .onion 网站复制粘贴代理通过 SOCKS5 代理获取、抓取和搜索 .onion 网站
恶意软件分析分别使用 Hybrid Analysis + MalwareBazaar + ThreatFox代理交叉引用：\"ThreatFox 中的这个哈希也在 Hybrid Analysis 中被引爆，包含网络 IOC\"
区块链分别使用区块浏览器 + ChainAbuse代理一步完成 BTC 交易追踪和滥用报告检查
API 密钥几乎所有功能都需要许多工具免费使用；API 密钥解锁高级数据源
安装安装每个工具，管理每个配置，运行 Tor 浏览器npx darknet-mcp-server — 一条命令，零配置
\n\n---\n\n## 快速开始\n\n### 方式一：npx（无需安装）\n\n```bash\nnpx darknet-mcp-server\n```\n\n免费工具可立即使用。勒索软件追踪、泄露列表、GreyNoise、区块链、OTX 等无需 API 密钥。\n\n### 方式二：克隆\n\n```bash\ngit clone https://github.com/badchars/darknet-mcp-server.git\ncd darknet-mcp-server\nbun install\n```\n\n### 环境变量（可选）\n\n```bash\n# 泄露与凭证情报\nexport HIBP_API_KEY=your-key # 启用泄露账户搜索和粘贴搜索\nexport INTELX_API_KEY=your-key # 启用 4 个 IntelligenceX 工具\n\n# 威胁情报\nexport OTX_API_KEY=your-key # 提高 AlienVault OTX 速率限制\nexport ABUSEIPDB_API_KEY=your-key # 启用 4 个 AbuseIPDB 工具\nexport ABUSECH_AUTH_KEY=your-key # 提高 abuse.ch 套件的速率限制\nexport PULSEDIVE_API_KEY=your-key # 提高 Pulsedive 速率限制\n\n# 窃密日志与凭证\nexport HUDSONROCK_API_KEY=your-key # 启用 3 个 Hudson Rock 窃密日志工具\n\n# 漏洞利用与恶意软件分析\nexport VULNERS_API_KEY=your-key # 启用 Vulners 搜索和漏洞利用工具\nexport HYBRID_API_KEY=your-key # 启用 3 个 Hybrid Analysis 恶意软件工具\n\n# 钓鱼\nexport PHISHTANK_API_KEY=your-key # 提高 PhishTank 速率限制\n\n# Tor SOCKS5 代理（用于 .onion 访问）\nexport TOR_SOCKS_HOST=127.0.0.1 # 默认：127.0.0.1\nexport TOR_SOCKS_PORT=9050 # 默认：9050\n```\n\n所有 API 密钥均为可选。没有密钥，您仍可使用勒索软件追踪、泄露列表、GreyNoise、区块链情报、OTX、Tor 出口节点检查、洋葱搜索、CIRCL 洋葱查询等功能。\n\n### 连接到您的 AI 代理\n\n
\nClaude Code\n\n```bash\n# 使用 npx\nclaude mcp add darknet-mcp-server -- npx darknet-mcp-server\n\n# 使用本地克隆\nclaude mcp add darknet-mcp-server -- bun run /path/to/darknet-mcp-server/src/index.ts\n```\n\n
\n\n
\nClaude Desktop\n\n添加到 `~/Library/Application Support/Claude/claude_desktop_config.json`：\n\n```json\n{\n \"mcpServers\": {\n \"darknet\": {\n \"command\": \"npx\",\n \"args\": [\"-y\", \"darknet-mcp-server\"],\n \"env\": {\n \"HIBP_API_KEY\": \"optional\",\n \"INTELX_API_KEY\": \"optional\",\n \"ABUSEIPDB_API_KEY\": \"optional\",\n \"HUDSONROCK_API_KEY\": \"optional\",\n \"HYBRID_API_KEY\": \"optional\",\n \"VULNERS_API_KEY\": \"optional\"\n }\n }\n }\n}\n```\n\n
\n\n
\nCursor / Windsurf / 其他 MCP 客户端\n\n相同的 JSON 配置格式。将命令指向 `npx darknet-mcp-server` 或您的本地安装路径。\n\n
\n\n### Tor 设置（可选，用于 .onion 访问）\n\n7 个 Tor 工具（`tor_fetch_onion`、`tor_scrape_onion` 等）需要运行中的 Tor SOCKS5 代理。\n\n```bash\n# macOS\nbrew install tor && brew services start tor\n\n# Linux\nsudo apt install tor && sudo systemctl start tor\n\n# Docker\ndocker run -d -p 9050:9050 dperson/torproxy\n\n# 验证连接\nnpx darknet-mcp-server --check-tor\n```\n\n### 开始查询\n\n```\n您：\"检查 example.com 是否有数据泄露记录，并查找窃密日志\"\n```\n\n就是这样。代理会自动处理泄露查询、凭证搜索、威胁关联等。\n\n---\n\n## AI 能做什么\n\n### 泄露调查\n\n```\n您：\"检查 example.com 是否有数据泄露\"\n\n代理：-> breachList {domain: \"example.com\"}\n -> breachSearch {account: \"admin@example.com\"}\n -> stealer_domain {domain: \"example.com\"}\n -> intelx_search {term: \"example.com\"}\n -> \"example.com 出现在 5 次已知泄露中：\n - ExampleDB 2023：420 万条记录（邮箱、密码、IP）\n - Collection #1：撞库攻击列表\n - Combolist 2024：89 万个邮箱:密码对\n 窃密日志：Hudson Rock 数据库中发现 23 台被入侵机器\n 保存了 example.com 的凭证。\n IntelligenceX：在粘贴网站和暗网中找到 47 条结果。\"\n```\n\n### 勒索软件追踪\n\n```\n您：\"哪些勒索软件组织在针对医疗行业？\"\n\n代理：-> ransomwareBySector {sector: \"healthcare\"}\n -> ransomwareRecent {}\n -> ransomlookRecent {}\n -> \"医疗行业勒索软件活动：\n 过去 12 个月共 142 个受害者，涉及 12 个组织。\n 主要组织：LockBit3（38 个受害者）、BlackCat/ALPHV（24 个）、\n Cl0p（19 个）、Royal（15 个）。\n 最近：MedCorp Inc. 被 LockBit3 列出（2 天前）。\n 过去一周在 ransomware.live 和 RansomLook 信息流中\n 新增 3 个医疗行业受害者。\"\n```\n\n### 暗网侦察\n\n```\n您：\"在 .onion 网站上搜索有关我们公司的提及\"\n\n代理：-> tor_search_onion {query: \"AcmeCorp\"}\n -> intelx_search {term: \"acmecorp.com\"}\n -> onion_lookup {address: \"relevant-onion-address.onion\"}\n -> \"AcmeCorp 暗网搜索结果：\n Ahmia.fi：3 个 .onion 页面提及 AcmeCorp\n - 论坛帖子讨论 AcmeCorp 员工名单（泄露论坛）\n - 市场上架 AcmeCorp 数据库（未验证）\n - 博客文章引用 AcmeCorp 泄露事件\n IntelligenceX：粘贴网站上有 12 条结果\n 建议：调查论坛帖子和市场列表，\n 了解是否存在活跃的数据销售。\"\n```\n\n### 恶意软件分析\n\n```\n您：\"分析此文件哈希的恶意软件指标：abc123def456...\"\n\n代理：-> malware_search {hash: \"abc123def456...\"}\n -> malware_overview {sha256: \"abc123def456...\"}\n -> bazaarHash {hash: \"abc123def456...\"}\n -> threatfoxSearch {searchTerm: \"abc123def456...\"}\n -> otx_hash {hash: \"abc123def456...\"}\n -> \"abc123def456 恶意软件分析：\n Hybrid Analysis：恶意（威胁评分 95/100）\n - 家族：AgentTesla（信息窃取器）\n - MITRE ATT&CK：T1555（凭证访问）、T1071（C2）\n - 网络 IOC：3 个 C2 域名、2 个 IP\n MalwareBazaar：首次发现 2024-03-15，标记为 'AgentTesla'\n ThreatFox：2 个 IOC 条目关联到同一攻击活动\n OTX：在 4 个威胁脉冲中被引用\"\n```\n\n---\n\n## 工具参考（66 个工具）\n\n
\nTor 网络 (7) — 无需 API 密钥（.onion 工具需要 Tor 守护进程）\n\n| 工具 | 描述 |\n|------|------|\n| `tor_status` | 检查本地 Tor SOCKS5 代理守护进程是否正在运行且可访问 |\n| `tor_fetch_onion` | 通过 Tor SOCKS5 代理获取 .onion URL 的原始 HTML（通过 socks5h 防止 DNS 泄露） |\n| `tor_scrape_onion` | 获取并解析 .onion 网站 — 返回结构化数据：标题、链接、正文 |\n| `tor_search_onion` | 使用 Ahmia.fi 搜索引擎搜索 .onion 网站 |\n| `tor_exit_nodes` | 从 Tor 项目官方批量出口列表获取当前 Tor 出口节点 IP 地址 |\n| `tor_exit_check` | 检查特定 IP 地址是否为已知的 Tor 出口节点 |\n| `tor_exit_details` | 获取详细的 Tor 出口节点信息，包括指纹和发布时间戳 |\n\n
\n\n
\n勒索软件情报 (9) — 无需 API 密钥\n\n| 工具 | 描述 |\n|------|------|\n| `ransomwareRecent` | 从 ransomware.live 获取最近的勒索软件受害者 |\n| `ransomwareGroups` | 列出 ransomware.live 追踪的所有已知勒索软件组织 |\n| `ransomwareGroup` | 按名称获取特定勒索软件组织的详细资料 |\n| `ransomwareGroupVictims` | 获取特定勒索软件组织声称的所有受害者 |\n| `ransomwareSearch` | 按关键词搜索勒索软件受害者（公司名称、域名等） |\n| `ransomwareByCountry` | 按 ISO 3166-1 alpha-2 国家代码筛选勒索软件受害者 |\n| `ransomwareBySector` | 按行业/领域筛选勒索软件受害者（医疗、金融等） |\n| `ransomlookGroups` | 列出 RansomLook 追踪的所有 582+ 个勒索软件组织 |\n| `ransomlookRecent` | 从 RansomLook 获取最近的勒索软件帖子和受害者声明 |\n\n
\n\n
\n泄露情报 — HIBP (7) — 部分免费：部分工具免费，账户搜索需要 HIBP_API_KEY\n\n| 工具 | 描述 |\n|------|------|\n| `breachList` | 列出 HaveIBeenPwned 的所有已知数据泄露，可按域名筛选 — 免费 |\n| `breachGet` | 按名称获取特定数据泄露的详细信息 — 免费 |\n| `breachLatest` | 获取最近添加的数据泄露 — 免费 |\n| `breachDataClasses` | 列出 HIBP 已知的所有数据类别（被泄露数据的类型） — 免费 |\n| `breachPassword` | 检查密码是否出现在已知泄露中（k-匿名性，仅发送 SHA-1 前 5 个字符） — 免费 |\n| `breachSearch` | 搜索特定账户（邮箱/用户名）的所有泄露 — 需要 `HIBP_API_KEY` |\n| `breachPastes` | 搜索公开粘贴中的邮箱地址 — 需要 `HIBP_API_KEY` |\n\n
\n\n
\nabuse.ch 套件 (9) — 无需 API 密钥（ABUSECH_AUTH_KEY 可选，用于提高速率）\n\n| 工具 | 描述 |\n|------|------|\n| `threatfoxGetIocs` | 获取 ThreatFox 最近 N 天报告的 IOC |\n| `threatfoxSearch` | 按 IP、域名、哈希或 URL 搜索 ThreatFox IOC |\n| `threatfoxTag` | 按标签搜索 ThreatFox IOC（如 Cobalt Strike、Emotet） |\n| `threatfoxMalware` | 使用 Malpedia 命名按恶意软件家族搜索 ThreatFox IOC |\n| `urlhausLookup` | 在 URLhaus 中查询 URL 或主机的恶意软件分发情况 |\n| `urlhausTag` | 按标签搜索 URLhaus 条目 |\n| `bazaarHash` | 通过 MD5、SHA1 或 SHA256 哈希在 MalwareBazaar 中查询恶意软件样本 |\n| `bazaarRecent` | 获取 MalwareBazaar 最近提交的恶意软件样本 |\n| `bazaarTag` | 按标签或 YARA 签名名称搜索 MalwareBazaar |\n\n
\n\n
\nAlienVault OTX (5) — 无需 API 密钥（OTX_API_KEY 可选，用于提高速率）\n\n| 工具 | 描述 |\n|------|------|\n| `otx_ip` | 查询 IP 地址的威胁情报 — 脉冲信息、信誉、国家、ASN |\n| `otx_domain` | 查询域名的威胁情报 — 脉冲信息、whois、信誉 |\n| `otx_hash` | 查询文件哈希（MD5、SHA1、SHA256）的威胁情报 |\n| `otx_cve` | 查询 CVE 的威胁情报 — 相关脉冲和指标 |\n| `otx_search_pulses` | 按关键词搜索 OTX 威胁脉冲 |\n\n
\n\n
\nAbuseIPDB (4) — 需要 ABUSEIPDB_API_KEY\n\n| 工具 | 描述 |\n|------|------|\n| `abuseipdb_check` | 检查 IP 地址的滥用报告 — 信心评分、ISP、国家、报告数量 |\n| `abuseipdb_reports` | 获取 IP 的详细滥用报告，包含评论和类别 |\n| `abuseipdb_blacklist` | 获取 AbuseIPDB 报告最多的恶意 IP 地址黑名单 |\n| `abuseipdb_check_block` | 检查整个 CIDR 网络块的滥用报告 |\n\n
\n\n
\nGreyNoise 社区版 (2) — 无需 API 密钥\n\n| 工具 | 描述 |\n|------|------|\n| `greynoise_ip` | 在 GreyNoise 上查询 IP — 分类（良性/恶意/未知）、扫描器状态 |\n| `greynoise_check` | 快速检查：此 IP 是已知扫描器还是已知良性服务？ |\n\n
\n\n
\nPulsedive (3) — 无需 API 密钥（PULSEDIVE_API_KEY 可选，用于提高速率）\n\n| 工具 | 描述 |\n|------|------|\n| `pulsedive_indicator` | 查询指标（IP、域名、URL 或哈希） — 风险等级、威胁、信息源 |\n| `pulsedive_search` | 按值搜索 Pulsedive 指标 |\n| `pulsedive_explore` | 使用高级查询探索关联指标（带风险等级的相关 IOC） |\n\n
\n\n
\nHudson Rock 窃密日志 (3) — 需要 HUDSONROCK_API_KEY\n\n| 工具 | 描述 |\n|------|------|\n| `stealer_domain` | 按域名搜索窃密日志条目 — 被入侵机器、凭证、恶意软件详情 |\n| `stealer_email` | 按邮箱地址搜索窃密日志 — 浏览器凭证中包含该邮箱的被入侵机器 |\n| `stealer_ip` | 按 IP 地址搜索窃密日志 — 来自该 IP 的被入侵机器 |\n\n
\n\n
\nVulners 漏洞利用 (3) — 无需 API 密钥（VULNERS_API_KEY 可选，用于搜索）\n\n| 工具 | 描述 |\n|------|------|\n| `vulners_search` | 使用 Lucene 查询搜索 Vulners 漏洞数据库 |\n| `vulners_id` | 按 ID 查询特定漏洞或利用（CVE、EDB、GHSA） — 免费 |\n| `vulners_exploit` | 专门搜索漏洞利用（ExploitDB 条目） |\n\n
\n\n
\n区块链情报 (4) — 无需 API 密钥\n\n| 工具 | 描述 |\n|------|------|\n| `btc_address` | 查询比特币地址 — 余额、交易数量、最近交易 |\n| `btc_balance` | 获取比特币地址余额（聪为单位，无需完整历史的快速检查） |\n| `btc_tx` | 按哈希获取详细的比特币交易信息 — 输入、输出、手续费、区块信息 |\n| `btc_abuse_check` | 在 ChainAbuse 上检查比特币地址的滥用报告 — 带类别的诈骗报告 |\n\n
\n\n
\nHybrid Analysis 恶意软件 (3) — 需要 HYBRID_API_KEY\n\n| 工具 | 描述 |\n|------|------|\n| `malware_search` | 按文件哈希在 Hybrid Analysis 沙箱中搜索 — 裁定、杀毒软件检测率、分析详情 |\n| `malware_overview` | 完整恶意软件分析概览 — MITRE ATT&CK 技术、网络指标、进程 |\n| `malware_feed` | 获取最新的恶意软件引爆信息流 — 最近分析的样本及裁定 |\n\n
\n\n
\nCIRCL 洋葱查询 (1) — 无需 API 密钥\n\n| 工具 | 描述 |\n|------|------|\n| `onion_lookup` | 通过 CIRCL AIL 项目查询 .onion 地址的元数据 — 首次/末次发现、状态、标签、证书、端口、BTC 地址 |\n\n
\n\n
\nIntelligenceX (4) — 需要 INTELX_API_KEY\n\n| 工具 | 描述 |\n|------|------|\n| `intelx_search` | 在 IntelligenceX 上发起搜索，查找泄露数据、暗网内容等 |\n| `intelx_search_results` | 按 ID 检索 IntelligenceX 搜索结果 |\n| `intelx_phonebook` | 电话簿搜索 — 查找与关键词关联的邮箱、域名、URL |\n| `intelx_phonebook_results` | 按 ID 检索电话簿搜索结果 |\n\n
\n\n
\nPhishTank (1) — 无需 API 密钥（PHISHTANK_API_KEY 可选，用于提高速率）\n\n| 工具 | 描述 |\n|------|------|\n| `phishing_check` | 通过 PhishTank 检查 URL 是否为已知钓鱼网站 |\n\n
\n\n
\nMeta (1) — 无需 API 密钥\n\n| 工具 | 描述 |\n|------|------|\n| `darknet_list_sources` | 列出所有可用数据源及其配置状态、API 密钥状态和工具数量 |\n\n
\n\n---\n\n### CLI 用法\n\n```bash\n# 列出所有可用工具\nnpx darknet-mcp-server --list\n\n# 检查 Tor SOCKS5 代理连接\nnpx darknet-mcp-server --check-tor\n\n# 直接运行任意工具\nnpx darknet-mcp-server --tool breachList '{\"domain\":\"adobe.com\"}'\nnpx darknet-mcp-server --tool ransomwareRecent '{}'\nnpx darknet-mcp-server --tool tor_search_onion '{\"query\":\"marketplace\"}'\nnpx darknet-mcp-server --tool btc_address '{\"address\":\"1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa\"}'\n\n# 需要 API 密钥的工具\nHIBP_API_KEY=your-key npx darknet-mcp-server --tool breachSearch '{\"account\":\"user@example.com\"}'\nHYBRID_API_KEY=your-key npx darknet-mcp-server --tool malware_search '{\"hash\":\"abc123...\"}'\n```\n\n---\n\n## 数据源（16 个）\n\n| 来源 | 认证 | 速率限制 | 提供内容 |\n|------|------|---------|---------|\n| [Have I Been Pwned](https://haveibeenpwned.com) | `HIBP_API_KEY` | 1 次请求/1.5 秒 | 泄露搜索、粘贴搜索、密码检查、泄露列表 |\n| [IntelligenceX](https://intelx.io) | `INTELX_API_KEY` | 1 次请求/秒 | 暗网内容、泄露数据搜索、电话簿（邮箱/域名/URL） |\n| [AlienVault OTX](https://otx.alienvault.com) | 可选 | 1 次请求/秒 | IP、域名、哈希、CVE 的威胁情报；威胁脉冲搜索 |\n| [AbuseIPDB](https://www.abuseipdb.com) | `ABUSEIPDB_API_KEY` | 1 次请求/秒 | IP 滥用报告、信心评分、黑名单、CIDR 块检查 |\n| [abuse.ch (ThreatFox)](https://threatfox.abuse.ch) | 可选 | 2 次请求/秒 | IOC 搜索、恶意软件家族追踪、基于标签的搜索 |\n| [abuse.ch (URLhaus)](https://urlhaus.abuse.ch) | 可选 | 2 次请求/秒 | 恶意软件分发 URL 追踪、主机/URL 查询 |\n| [abuse.ch (MalwareBazaar)](https://bazaar.abuse.ch) | 可选 | 2 次请求/秒 | 恶意软件样本库、哈希查询、YARA 签名搜索 |\n| [GreyNoise](https://www.greynoise.io) | 无 | 1 次请求/秒 | IP 分类（良性/恶意）、互联网扫描器检测 |\n| [Pulsedive](https://pulsedive.com) | 可选 | 1 次请求/秒 | 指标丰富化、风险评分、关联 IOC 探索 |\n| [Hudson Rock Cavalier](https://cavalier.hudsonrock.com) | `HUDSONROCK_API_KEY` | 1 次请求/秒 | 按域名、邮箱或 IP 搜索窃密日志 |\n| [Vulners](https://vulners.com) | 可选 | 1 次请求/秒 | 漏洞/利用数据库、CVE 查询、ExploitDB 搜索 |\n| [Blockchain.info](https://blockchain.info) | 无 | 1 次请求/秒 | 比特币地址查询、余额、交易详情 |\n| [ChainAbuse](https://www.chainabuse.com) | 无 | 1 次请求/秒 | 比特币地址滥用/诈骗报告 |\n| [Hybrid Analysis](https://hybrid-analysis.com) | `HYBRID_API_KEY` | 1 次请求/秒 | 恶意软件沙箱引爆、MITRE ATT&CK 映射、样本信息流 |\n| [CIRCL AIL（洋葱查询）](https://onion.ail-project.org) | 无 | 0.5 次请求/秒 | .onion 地址元数据、首次/末次发现、关联 BTC 地址 |\n| [Tor 网络](https://www.torproject.org) | 无 | 不适用 | 出口节点列表、.onion 获取/抓取、Ahmia.fi 搜索 |\n\n---\n\n## 架构\n\n```\nsrc/\n index.ts # CLI 入口（--help、--list、--check-tor、stdio 服务器）\n protocol/\n mcp-server.ts # MCP 服务器设置（stdio 传输）\n tools.ts # 工具注册表 — 所有 66 个工具在此组装\n types/\n index.ts # 共享类型（ToolDef、ToolContext、ToolResult）\n utils/\n rate-limiter.ts # 每个提供者的速率限制器\n cache.ts # API 响应的 TTL 缓存\n tor-fetch.ts # Tor SOCKS5 代理 HTTP 客户端\n require-key.ts # API 密钥验证助手\n tor/ # Tor 网络工具 (7)\n ransomware/ # 勒索软件情报工具 (9)\n breach/ # HIBP 泄露工具 (7)\n abusech/ # ThreatFox + URLhaus + MalwareBazaar 工具 (9)\n otx/ # AlienVault OTX 工具 (5)\n abuseipdb/ # AbuseIPDB 工具 (4)\n greynoise/ # GreyNoise 社区版工具 (2)\n pulsedive/ # Pulsedive 工具 (3)\n hudsonrock/ # Hudson Rock 窃密日志工具 (3)\n vulners/ # Vulners 漏洞利用工具 (3)\n blockchain/ # 区块链情报工具 (4)\n hybrid/ # Hybrid Analysis 恶意软件工具 (3)\n onionlookup/ # CIRCL 洋葱查询工具 (1)\n intelx/ # IntelligenceX 工具 (4)\n phishing/ # PhishTank 工具 (1)\n meta/ # Meta 工具 (1)\n```\n\n**设计决策：**\n\n- **16 个提供者，1 个服务器** — 每个数据源都是独立模块。代理根据查询选择使用哪些工具。\n- **每个提供者独立的速率限制器** — 每个数据源有自己的 `RateLimiter` 实例，根据该 API 的限制进行校准。无共享瓶颈。\n- **TTL 缓存** — 勒索软件数据（15 分钟）、泄露列表（10 分钟）、abuse.ch（5 分钟）结果会被缓存，避免多工具工作流中的冗余 API 调用。\n- **优雅降级** — 缺少 API 密钥不会导致服务器崩溃。工具返回描述性错误信息：\"设置 HIBP_API_KEY 以启用泄露账户搜索。\"\n- **DNS 泄露防护** — Tor .onion 工具使用 `socks5h://` 协议通过 Tor 解析 DNS，防止 DNS 泄露到本地解析器。\n- **4 个依赖** — `@modelcontextprotocol/sdk`、`zod`、`socks-proxy-agent` 和 `cheerio`。所有明网 HTTP 使用原生 `fetch`。所有 Tor 流量通过 SOCKS5。\n\n---\n\n## 限制\n\n- HIBP 账户/粘贴搜索需要付费 API 密钥（$3.50/月）\n- IntelligenceX、AbuseIPDB、Hudson Rock 和 Hybrid Analysis 的工具需要 API 密钥\n- Tor .onion 工具需要运行中的 Tor SOCKS5 代理（未捆绑）\n- 没有 `ABUSECH_AUTH_KEY` 时 abuse.ch 免费层有较低的速率限制\n- Ransomware.live 和 RansomLook 数据取决于上游抓取频率\n- 区块链工具仅支持比特币（不支持以太坊/门罗币）\n- PhishTank 数据库可能落后于实时钓鱼活动\n- 已在 macOS / Linux 上测试（未在 Windows 上测试）\n\n---\n\n## MCP 安全套件的一部分\n\n| 项目 | 领域 | 工具 |\n|------|------|------|\n| [hackbrowser-mcp](https://github.com/badchars/hackbrowser-mcp) | 基于浏览器的安全测试 | 39 个工具、Firefox、注入测试 |\n| [cloud-audit-mcp](https://github.com/badchars/cloud-audit-mcp) | 云安全（AWS/Azure/GCP） | 38 个工具、60+ 项检查 |\n| [github-security-mcp](https://github.com/badchars/github-security-mcp) | GitHub 安全态势 | 39 个工具、45 项检查 |\n| [cve-mcp](https://github.com/badchars/cve-mcp) | 漏洞情报 | 23 个工具、5 个数据源 |\n| [osint-mcp-server](https://github.com/badchars/osint-mcp-server) | OSINT 与侦察 | 37 个工具、12 个数据源 |\n| **darknet-mcp-server** | **暗网与威胁情报** | **66 个工具、16 个数据源** |\n\n---\n\n

\n仅用于授权的安全测试和评估。
\n在对任何目标进行情报收集之前，请始终确保您已获得适当授权。\n

\n\n

\n MIT 许可证 • 使用 Bun + TypeScript 构建\n

\n","readmeFilename":"README.zh.md"}