第三章 MCP协议安全威胁模型

聊到MCP协议的安全，我习惯先画一张威胁模型图。为什么？因为你不搞清楚攻击者能从哪下手，后面做再多防护都是瞎忙活。这一章，咱们就把MCP协议的“家底”翻出来看看——攻击面在哪、常见漏洞有哪些、怎么建模、怎么评估风险。

3.1 MCP协议攻击面分析

攻击面这个词，说白了就是“攻击者能碰到你的地方”。MCP协议的架构决定了它的攻击面比较特殊——它不是传统的C/S模型，也不是纯粹的P2P，而是一种“代理-桥梁”模式。

我个人习惯把MCP的攻击面分成三个维度来看：

3.1.1 客户端攻击面

客户端就是发起MCP请求的那一端，通常是AI应用。这里的问题在于——客户端往往不可信。我在项目中遇到过好几次，攻击者通过篡改客户端发送的请求参数，试图执行未授权的工具调用。

• 请求伪造：攻击者可以构造恶意的MCP请求，比如伪造工具调用参数
• 身份冒充：如果客户端认证机制薄弱，攻击者可以伪装成合法客户端
• 会话劫持：MCP的会话令牌如果泄露，攻击者就能接管会话

3.1.2 服务端攻击面

服务端是MCP协议的“大脑”，负责处理请求、调用工具、返回结果。攻击面主要集中在：

• 工具注册劫持：攻击者可以注册恶意工具，诱导客户端调用
• 响应注入：服务端返回的数据如果被篡改，可能导致客户端执行错误逻辑
• 资源耗尽：通过大量请求耗尽服务端计算资源

你想想看，如果攻击者注册了一个叫“get_user_info”的工具，但实际上是个钓鱼工具，后果会怎样？

3.1.3 传输层攻击面

MCP协议通常跑在HTTP/2或WebSocket上，传输层的安全问题一个都不少：

攻击类型	描述	风险等级
中间人攻击	拦截或篡改MCP通信数据	高
重放攻击	捕获合法请求后重复发送	中
协议降级	强制使用不安全的协议版本	高

3.2 MCP协议常见漏洞类型

做逆向分析这些年，我总结了几类MCP协议里反复出现的漏洞。说白了，很多问题都是“老酒装新瓶”——换了个协议，漏洞本质没变。

3.2.1 注入类漏洞

MCP协议里，工具调用参数是最容易出问题的地方。攻击者可以在参数里注入恶意代码或命令。

// 漏洞示例：未经过滤的工具参数
{
  "tool": "execute_command",
  "params": {
    "command": "ls; rm -rf /"  // 命令注入！
  }
}

3.2.2 权限绕过漏洞

MCP协议的权限模型如果设计得不好，很容易出现越权调用。比如：

• 普通用户可以调用管理员级别的工具
• 未认证用户可以访问需要认证的接口
• 工具之间的权限隔离不到位

3.2.3 数据泄露漏洞

MCP协议在传输和存储敏感数据时，如果加密不到位，数据泄露就是分分钟的事。我见过最离谱的一个案例——某个MCP服务端把用户的API密钥直接明文返回在响应体里。

3.3 MCP协议威胁建模方法

威胁建模这件事，我习惯用STRIDE模型。为什么？因为它够全面，而且容易落地。

3.3.1 STRIDE模型在MCP中的应用

威胁类型	MCP场景举例	缓解措施
S - 身份欺骗	攻击者伪造客户端身份	双向TLS认证
T - 篡改	修改MCP请求/响应内容	消息签名
R - 抵赖	否认执行过某个工具调用	审计日志
I - 信息泄露	敏感数据在传输中被窃听	端到端加密
D - 拒绝服务	大量请求压垮MCP服务端	限流、熔断
E - 权限提升	普通用户调用管理员工具	细粒度权限控制

3.3.2 数据流图分析法

画数据流图是我做威胁建模的第一步。把MCP协议里的数据流向画清楚，攻击面自然就暴露出来了。

// 数据流图核心要素
- 外部实体：AI应用、第三方工具
- 处理过程：MCP服务端、认证模块
- 数据存储：会话数据库、工具注册表
- 数据流：请求、响应、错误信息

3.3.3 攻击树分析

攻击树是个好东西，它能帮你把攻击路径可视化。比如针对“未授权工具调用”这个目标，攻击树可能是这样的：

• 根节点：未授权调用管理员工具
  • 子节点1：绕过认证
    • 伪造令牌
    • 会话劫持
  • 子节点2：绕过授权
    • 参数篡改
    • 角色冒充

3.4 MCP协议安全风险评估

评估风险，说白了就是回答三个问题：攻击发生的可能性有多大？造成的损失有多严重？我们能不能承受？

3.4.1 CVSS评分在MCP中的应用

我习惯用CVSS 3.1来给MCP漏洞打分。举个例子：

// MCP工具参数注入漏洞的CVSS评分
攻击向量(AV): 网络 (0.85)
攻击复杂度(AC): 低 (0.77)
权限要求(PR): 低 (0.62)
用户交互(UI): 无 (0.85)
影响范围(S): 已变更 (1.0)
机密性影响(C): 高 (0.56)
完整性影响(I): 高 (0.56)
可用性影响(A): 低 (0.22)

基础分 = 8.8 (高危)

3.4.2 风险矩阵

风险等级	可能性	影响程度	典型场景
极高	高	严重	未授权执行系统命令
高	中	严重	敏感数据批量泄露
中	高	中等	单个工具被滥用
低	低	轻微	日志信息泄露

3.4.3 缓解措施优先级

评估完风险，接下来就是定优先级。我的原则是：先解决“高可能性+高影响”的问题，其他的往后排。

好了，这一章的内容就到这。MCP协议的安全威胁模型，说白了就是搞清楚“谁可能攻击你、从哪攻击、用什么方法、后果多严重”。下一章咱们会深入具体的攻击技术，到时候手把手带你做一次完整的MCP协议渗透测试。

---

公众号:蓝海资料掘金营，微信deep3321