# WireMCP 基于 tshark 的流量分析 MCP 服务器 > 基于 Node.js 的 MCP 服务器，为 LLM 客户端调用 Wireshark 的 tshark；其 README 将用途定位于威胁狩猎、网络诊断和异常检测。三个工具会实时抓取数秒流量，分别返回一组固定的 IP、端口、TCP 标志和 HTTP 字段，tshark 的协议层级统计，或 TCP 会话统计；analyze_pcap 则从已保存的抓包文件中返回 IP、端口、HTTP URL 和协议栈。解析输出之外，其余工具会把抓到的 IP 与 URLhaus 黑名单比对，或在抓包文件中扫描 HTTP Basic、FTP、Telnet 和 Kerberos 凭据。 - 类型：集成 - 目标：协议 - 类别：独立 MCP 集成 - 关联：独立智能体集成 - 来源复核于：2026-10-19 - 收录于：2026-11-01 - 原始资源： - 一手来源： - 目录页面： - 记录 JSON： - 英文版：[English](https://awesomerea.org/resources/wiremcp/index.md) ## 使用条件与局限 - 审阅对象为 main 分支 2025-07-09 的提交 7f45f8b，是自 2025-03-28 以来九个提交中的最后一个；仓库没有发布版本或标签，package.json 标注为 1.0.0，其测试脚本只是占位。执行 npm install 后用 Node.js 运行（README 建议 v16+），程序会在 PATH 或常见安装位置查找 tshark，并由 MCP 客户端通过 stdio 以 node index.js 启动；README 列出 macOS、Windows 和 Linux。每个工具另有对应的提示词模板。 - 实时抓包工具默认在 en0 接口上抓取 5 秒，需要主机上的抓包权限；它们会在工作目录写入 temp_capture.pcap，用后删除，数据包 JSON 会被截断到约 720,000 个字符。服务器在构造 tshark shell 命令时直接插入接口名和文件路径参数而不做转义，因此只应向可信客户端开放。 - 字段集合在代码中固定：不支持任意字段提取、显示过滤器、decode-as 或协议首选项设置，服务器也不会推断未知报文格式。 - check_threats 和 check_ip_threats 会从 abuse.ch 下载 URLhaus 文本黑名单，并在本地比对 IP；尽管 README 提到多个威胁情报源，所审阅的代码只查询 URLhaus。凭据扫描和威胁检查属于安全启发式检测，其结果需要分析者复核。 - 采用 MIT 许可；Wireshark 与 tshark 保留各自的 GPL 条款。 ## 一手来源 1. 2. 3. 4. 5. 6. 7. ## 同分区更多条目：智能体与 MCP - [ReverserAI：本地大模型函数命名 Binary Ninja 插件](https://awesomerea.org/zh/resources/reverser-ai/index.md) · 集成 - [WPeGPT IDA AI 分析插件](https://awesomerea.org/zh/resources/wpegpt/index.md) · 集成 - [IDAssist IDA Pro 大模型辅助分析插件](https://awesomerea.org/zh/resources/idassist/index.md) · 集成 - [GhidraGPT：调用大模型辅助逆向的 Ghidra 扩展](https://awesomerea.org/zh/resources/ghidragpt/index.md) · 集成 - [GhidrAssist Ghidra 大模型辅助分析扩展](https://awesomerea.org/zh/resources/ghidrassist/index.md) · 集成 - [Rikugan](https://awesomerea.org/zh/resources/rikugan/index.md) · 集成 ## 关于此条目 说明已依据一手来源复核。 原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。