MCP Wireshark

mcp-wireshark

由社区维护的 Wireshark / tshark MCP 服务。Wireshark 或 Anthropic 均未参与此项目。 让 AI 助手直接访问数据包捕获文件。让 Claude 总结 .pcap、跟踪 TCP 流、筛选特定协议或捕获实时流量——所有操作都可在聊天中完成。

使用 Claude Code 快速开始

pip install mcp-wireshark
claude mcp add --transport stdio --scope user mcp-wireshark -- mcp-wireshark

就这么简单。打开 Claude Code 并试着说：

“总结一下 ./capture.pcap，并告诉我哪些 IP 之间的通信最频繁。”

--scope user 会让所有 Claude Code 项目都能使用此服务。去掉该标志，则只会为当前项目安装。更多信息请参阅 claude mcp 文档。

验证安装

claude mcp list

你应该能看到 mcp-wireshark。在 Claude Code 中，提问：

“运行 check_installation。”

如果 tshark 位于你的 PATH 中，该工具会返回版本信息。如果不在，请参阅故障排除。

工具

此服务提供 14 个工具，明确分为读取工具（安全、无副作用）和写入工具（捕获流量或写入文件）。两组工具都带有标准 MCP readOnlyHint 注解，以便任何兼容的客户端都能区分它们。

读取工具

可以放心调用——它们只会检查状态。

写入工具

这些工具会创建文件或捕获实时流量。符合规范的客户端可能会在调用前提示。

实际效果

这些片段使用真实工具处理 demo/demo.pcapng — 一段简短的家庭网络捕获记录。运行 python demo/render_gif.py <scene> 可重新生成。

summarize_pcap — 快速了解未知捕获记录的特征

decode_protocol — 筛选协议并生成精简表格（此处展示：TLS SNI 和 DNS-over-HTTPS 查询）

expert_info — 让 tshark 为你找出警告和异常

示例提示词

可直接将这些内容粘贴到 Claude Code 中：

List my network interfaces.
Summarize ./traffic.pcap.
From ./traffic.pcap, show me only HTTP requests.
Follow TCP stream 0 in ./traffic.pcap and tell me what protocol is in it.
Capture 30 seconds of traffic on Wi-Fi filtered to tcp.port == 443.
Export every DNS packet from ./traffic.pcap to ./dns.json.
Decode the GOOSE messages in ./substation.pcapng — only stNum >= 1.
Run expert analysis on ./traffic.pcap and group findings by severity.
Show me the IP conversations in ./traffic.pcap.

常用显示过滤器

针对分析 IEC 61850 流量的变电站工程师：

其他客户端

任何支持 MCP 的客户端都可以使用。此软件包会在 PATH 上安装一个 mcp-wireshark 二进制文件。

{
    "mcpServers": {
        "wireshark": {
            "command": "mcp-wireshark"
        }
    }
}

{
    "servers": {
        "wireshark": {
            "command": "mcp-wireshark"
        }
    }
}

前置条件

• Python 3.10+
• 已安装 Wireshark；tshark 可通过 PATH 访问

使用 pip 或 uv 安装：

pip install mcp-wireshark
# or
uvx mcp-wireshark

故障排除

sudo usermod -aG wireshark $USER

开发

git clone https://github.com/khuynh22/mcp-wireshark.git
cd mcp-wireshark
python -m venv venv && source venv/bin/activate  # Windows: venv\Scripts\activate
pip install -e ".[dev]"

pytest                   # tests
black src tests          # format
ruff check src tests     # lint
mypy src                 # type check

代码库经过组织，使新增工具归入两个职责明确的文件之一：

• src/mcp_wireshark/read_tools.py — 仅检查状态的内容
• src/mcp_wireshark/write_tools.py — 捕获流量或写入文件的内容

server.py 仅包含路由逻辑。请参阅 CLAUDE.md 和 CONTRIBUTING.md。

安全

每个文件路径都会经过验证（拒绝 ..，并限制允许的扩展名）。每个显示过滤器都会检查是否包含 shell 元字符。始终通过 asyncio.create_subprocess_exec 调用 tshark，绝不使用 shell=True。硬性上限：每次调用最多处理 10k 个数据包，每次实时捕获最长 5 min。请参阅 SECURITY.md。

许可证

MIT — 请参阅 LICENSE。