MCP 服务器

WireMCP

一个模型上下文协议服务器，为大型语言模型提供实时网络流量分析能力，从而可以通过 Wireshark 的 tshark 实现诸如威胁追踪、网络诊断和异常检测等任务。

Tools

capture_packets

Capture live traffic and provide raw packet data as JSON for LLM analysis

get_summary_stats

Capture live traffic and provide protocol hierarchy statistics for LLM analysis

get_conversations

Capture live traffic and provide TCP/UDP conversation statistics for LLM analysis

check_threats

Capture live traffic and check IPs against URLhaus blacklist

check_ip_threats

Check a given IP address against URLhaus blacklist for IOCs

analyze_pcap

Analyze a PCAP file and provide general packet data as JSON for LLM analysis

extract_credentials

Extract potential credentials (HTTP Basic Auth, FTP, Telnet) from a PCAP file for LLM analysis

README

WireMCP

WireMCP 是一个模型上下文协议 (MCP) 服务器，旨在为大型语言模型 (LLM) 提供实时网络流量分析能力。通过利用构建在 Wireshark 的 tshark 之上的工具，WireMCP 捕获和处理实时网络数据，为 LLM 提供结构化上下文，以协助诸如威胁狩猎、网络诊断和异常检测等任务。

功能

WireMCP 向 MCP 客户端公开以下工具，增强 LLM 对网络活动的理解：

capture_packets: 捕获实时流量并将原始数据包数据作为 JSON 返回，使 LLM 能够分析数据包级别的详细信息（例如，IP 地址、端口、HTTP 方法）。
get_summary_stats: 提供协议层次结构统计信息，使 LLM 能够了解流量组成概况（例如，TCP 与 UDP 的使用情况）。
get_conversations: 提供 TCP/UDP 会话统计信息，允许 LLM 跟踪端点之间的通信流。
check_threats: 捕获 IP 并对照 URLhaus 黑名单进行检查，为 LLM 提供威胁情报上下文，以识别恶意活动。
check_ip_threats: 针对多个威胁源对特定 IP 地址执行有针对性的威胁情报查找，提供详细的信誉和威胁数据。
analyze_pcap: 分析 PCAP 文件以 JSON 格式提供全面的数据包数据，从而能够对网络流量进行详细的捕获后分析。
extract_credentials: 扫描 PCAP 文件中来自各种协议（HTTP Basic Auth、FTP、Telnet）的潜在凭据，有助于安全审计和取证分析。

它如何帮助 LLM

WireMCP 通过以下方式弥合了原始网络数据与 LLM 理解之间的差距：

情境化流量: 将实时数据包捕获转换为 LLM 可以解析和推理的结构化输出（JSON、统计信息）。
威胁检测: 集成 IOC（目前为 URLhaus）以标记可疑 IP，从而增强 LLM 驱动的安全分析。
诊断: 提供详细的流量洞察，使 LLM 能够协助进行故障排除或识别异常。
叙事生成: LLM 可以将复杂的数据包捕获转换为连贯的故事，使非技术用户也能访问网络分析。

安装

前提条件

Mac / Windows / Linux
Wireshark（已安装 tshark 并在 PATH 中可访问）
Node.js (v16+ 推荐)
npm（用于依赖项安装）

设置

克隆存储库：

git clone https://github.com/0xkoda/WireMCP.git
cd WireMCP

安装依赖项：
```
npm install
```
运行 MCP 服务器：
```
node index.js
```

注意: 确保 tshark 在您的 PATH 中。 WireMCP 将自动检测它，或者回退到常见的安装位置（例如，macOS 上的 /Applications/Wireshark.app/Contents/MacOS/tshark）。

与 MCP 客户端一起使用

WireMCP 适用于任何符合 MCP 规范的客户端。以下是流行客户端的示例：

示例 1：Cursor

在 Cursor -> Settings -> MCP 中编辑 mcp.json：

{
  "mcpServers": {
    "wiremcp": {
      "command": "node",
      "args": [
        "/ABSOLUTE_PATH_TO/WireMCP/index.js"
      ]
    }
  }
}

位置 (macOS): /Users/YOUR_USER/Library/Application Support/Claude/claude_desktop_config.json

其他客户端

此 MCP 将与任何客户端良好配合。在其 MCP 服务器设置中使用命令 node /path/to/WireMCP/index.js。

示例输出

运行 check_threats 可能会产生：

捕获的 IP：
174.67.0.227
52.196.136.253

针对 URLhaus 黑名单的威胁检查：
在 URLhaus 黑名单中未检测到威胁。

在捕获文件上运行 analyze_pcap：

{
  "content": [{
    "type": "text",
    "text": "分析的 PCAP：./capture.pcap\n\n唯一 IP：\n192.168.0.2\n192.168.0.1\n\n协议：\neth:ethertype:ip:tcp\neth:ethertype:ip:tcp:telnet\n\n数据包数据：\n[{\"layers\":{\"frame.number\":[\"1\"],\"ip.src\":[\"192.168.0.2\"],\"ip.dst\":[\"192.168.0.1\"],\"tcp.srcport\":[\"1550\"],\"tcp.dstport\":[\"23\"]}}]"
  }]
}