bx33661/Wireshark-MCP

解决的问题

Wireshark MCP 弥合了原始网络流量分析与AI辅助调查之间的差距。它允许AI代理（如Claude Desktop、Cursor或VS Code中的代理）直接与.pcap文件和Wireshark套件交互，使用户能够用通俗英语提问有关网络捕获的问题，而无需手动操作复杂的报文分析界面。

工作原理

该项目实现了一个模型上下文协议（MCP）服务器，作为tshark（Wireshark的命令行版本）的包装器。当连接到兼容MCP的客户端时，服务器暴露了50多个专用工具，AI可以调用这些工具来执行报文提取、协议分析、统计聚合和安全异常检测等任务。服务器负责处理自然语言请求与tshark所需的特定命令行参数之间的转换。

适用人群

它专为安全分析师、网络工程师和开发人员设计，他们希望使用LLM来自动化网络取证中繁琐的部分，例如识别可疑的DNS查询、扫描凭据或分析特定协议的流量模式。

亮点

• 广泛的工具集： 包含52个工具，涵盖从基本文件打开和报文检查到高级安全分析（如端口扫描、信标检测和TLS解密）的所有内容。
• 协议多样性： 具有统一的wireshark_analyze_protocol工具，支持25种以上的协议，包括工业物联网标准，如Modbus、S7comm和Zigbee。
• 可配置配置文件： 提供不同的操作配置文件（full、analysis、core），以管理发送给AI的工具定义的大小，优化上下文窗口使用。
• 注重安全： 实现工具的读写权限，确保潜在破坏性操作（如文件写入或实时捕获）受到控制并限制在允许的目录内。