Wireshark MCP Server

Wireshark MCP 服务

通过 Model Context Protocol（MCP）为 AI Agent 提供数据包捕获与分析功能。

适用于任何 stdio MCP 宿主：Cursor、Claude Desktop、Claude Code、VS Code / Copilot、Windsurf、自定义 Agent 及类似工具。无供应商锁定——宿主只需启动：

python -m wireshark_mcp

版本 0.2.2

文档（wiki）
新手安装指南	安装 TShark 和此软件包
MCP 客户端	Cursor、Claude、VS Code、通用客户端
故障排除	离线服务、PATH 问题
安全	安全捕获规则

GitHub Pages（可选）：设置 Settings → Pages → Source = GitHub Actions，然后 Pages 工作流会将 docs/ 发布为 HTML。

你将获得

• 通过 MCP 工具进行实时捕获和 pcap/pcapng 分析
• 通过 MCP 提示词引导工作流
• 启动预检：如果缺少 TShark，进程会退出，让宿主显示服务离线/错误，而非显示损坏的工具列表
• setup / doctor CLI，让新用户无需猜测即可配置路径

要求

• Python 3.10+
• TShark（PATH 或 TSHARK_PATH）
• 用于实时捕获的 Npcap（Windows）或 libpcap（Unix）
• 在目标网络上进行捕获的授权

快速开始（5 分钟）

git clone https://github.com/A-G-U-P-T-A/wireshark-mcp
cd wireshark-mcp
python -m venv .venv

# Windows:  .venv\Scripts\activate
# Unix:     source .venv/bin/activate

python -m pip install -e .
python -m wireshark_mcp doctor
python -m wireshark_mcp setup

setup 会检测 TShark（或提示输入其路径），并写入或打印标准的 mcpServers JSON 配置块。将宿主指向该配置，然后重新加载 / 重启宿主。

Windows 上安装 Wireshark：

winget install --id WiresharkFoundation.Wireshark -e

MCP 配置（任何宿主）

{
  "mcpServers": {
    "wireshark": {
      "command": "/absolute/path/to/.venv/bin/python",
      "args": ["-m", "wireshark_mcp"],
      "env": {
        "TSHARK_PATH": "/absolute/path/to/tshark"
      }
    }
  }
}

Windows 示例路径：

• Python：C:\\Users\\YOU\\...\\wireshark-mcp\\.venv\\Scripts\\python.exe
• TShark：C:\\Program Files\\Wireshark\\tshark.exe

现成模板：examples/mcpServers.wireshark.json
客户端专属文件位置：docs/Clients.md

CLI

命令	用途
python -m wireshark_mcp	运行 MCP 服务（stdio）
python -m wireshark_mcp doctor	JSON 依赖报告（退出码 0/1）
python -m wireshark_mcp setup	交互式配置 TShark 和宿主
python -m wireshark_mcp setup --client print	仅打印 JSON

项目结构

src/wireshark_mcp/     # MCP server package (tools, prompts, preflight)
examples/              # Sample mcpServers JSON
docs/                  # Setup wiki for novices
tests/                 # pytest (no live capture by default)
.cursor/skills/        # Optional Cursor agent skill
pyshark_mcp.py         # Thin legacy shim

工具（部分）

类别	工具
设置	check_environment、configure_tshark
捕获	list_interfaces、quick_capture、capture_live_packets、save_capture_to_file
分析	read_pcap_file、analyze_traffic、deep_packet_analysis、quick_traffic_analysis
应用协议	analyze_dns_traffic、analyze_http_traffic、analyze_http_traffic_tabular
诊断	protocol_hierarchy_statistics、expert_information、filtered_packet_display

提示词与资源

提示词： packet_capture_help、investigate_live_traffic、analyze_pcap_file、security_traffic_review、safe_capture_rules

资源： pyshark://version、pyshark://config（allow_simulation 始终为 false）

安全

• 接口根据 tshark -D 加入允许列表；拒绝 shell 元字符
• 子进程使用 argv + shell=False
• 失败时返回错误——不会模拟数据包

详情：docs/Security.md

测试与 CI

python -m pip install -e ".[dev]"
pytest -q -m "not live"

GitHub Actions 会在 Ubuntu 上安装 TShark 并运行非实时测试套件。

许可证

MIT