# Wireshark MCP 基于 tshark 的协议解析服务器 > 封装 tshark 及可选的其他 Wireshark 命令行工具的 MCP 服务器，使智能体能借助 Wireshark 的解析器查询已保存的抓包文件：数据包列表与详情、流追踪、任意字段提取、协议层级与会话统计、针对非标准端口的 decode-as 规则、协议首选项、使用用户提供的密钥进行 TLS 与 WPA 解密，以及一个为 Modbus、S7comm、MQTT、Zigbee、BLE 等 25 种协议套用预设字段和过滤器的工具。解析类工具之外，另有安全启发式检测、实时抓包和抓包文件编辑等独立工具。 - 类型：集成 - 目标：协议 - 类别：独立 MCP 集成 - 关联：独立智能体集成 - 来源复核于：2026-10-18 - 收录于：2026-10-19 - 原始资源： - 一手来源： - 目录页面： - 记录 JSON： - 英文版：[English](https://awesomerea.org/resources/wireshark-mcp/index.md) ## 使用条件与局限 - 需要 Python 3.10+，以及 tshark 位于 PATH 中的 Wireshark；capinfos、mergecap、editcap、dumpcap 和 text2pcap 为自动检测的可选组件，实时抓包还需要所在平台的抓包驱动与权限。可从 PyPI 安装（wireshark-mcp 3.1.0，基于 MCP Python SDK 2.x）并使用其客户端安装器，也可借助 uv 走 Claude Code 或 Codex 插件安装路线。审阅对象为 v3.1.0 标签，于 2026-10-18 在 main 分支最新提交上发布；项目更新很快。 - 默认传输方式为 stdio。SSE 和 streamable HTTP 默认绑定 127.0.0.1 且没有认证，因此除非在可信且带认证的 TLS 代理之后传入 --allow-insecure-http，服务器会拒绝绑定非回环地址。11 个写文件工具（实时抓包、合并、过滤保存、editcap、text2pcap、帧导出与对象导出）在 WIRESHARK_MCP_ALLOWED_DIRS 指定已存在的目录之前一律拒绝执行；--profile analysis 或 core 可减少对外公布的工具。 - 协议结果来自 Wireshark 现有的解析器和预设字段列表；decode-as 规则与协议首选项只是重定向或配置这些解析器，服务器不会推断未知的报文格式。凭据扫描、端口扫描、隧道、信标、数据外传和 YARA 等工具属于安全启发式检测，而非协议逆向，其结果需要分析者复核。 - 采用 MIT 许可；Wireshark 及其工具保留各自的 GPL 条款。 ## 一手来源 1. 2. 3. 4. 5. 6. 7. 8. ## 同分区更多条目：智能体与 MCP - [BINNY 逆向分析智能体框架](https://awesomerea.org/zh/resources/binny-agent-harness/index.md) · 集成 - [decomp.wtf 智能体反编译工具](https://awesomerea.org/zh/resources/decomp-wtf-agent-decompilation/index.md) · 集成 - [Claude Intercept 流量捕获分析工具](https://awesomerea.org/zh/resources/claude-intercept-traffic-capture/index.md) · 集成 - [Ghidra MCP Server（bethington）](https://awesomerea.org/zh/resources/ghidra-mcp-bethington/index.md) · 集成 - [DecompilerServer .NET 反编译 MCP 服务器](https://awesomerea.org/zh/resources/decompilerserver-dotnet-mcp/index.md) · 集成 - [Gepetto：调用大模型辅助逆向的 IDA 插件](https://awesomerea.org/zh/resources/gepetto/index.md) · 集成 ## 关于此条目 说明已依据一手来源复核。 原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。