Wireshark-MCP 是一个 MCP（Model Context Protocol）服务器，旨在为 AI 助手提供数据包分析能力。它封装了 tshark（以及可选的 Wireshark 套件工具），将其转化为结构化的分析接口。用户只需将 .pcap 文件交给 AI 客户端，并用自然语言提问，即可获得基于真实 tshark 输出的答案。
主要能力：
- 提供 52 个工具，每个工具都基于真实的 tshark 输出，并按类别组织。
- 单个工具可覆盖 20 种协议，例如 wireshark_analyze_protocol 接受协议参数（如 tls_handshakes、mqtt、modbus、s7comm、zigbee、wifi、rtp、kerberos 等），并自动应用正确的字段和显示过滤器。
- 服务器启动时仅要求 tshark 必需，可选工具（capinfos、mergecap、editcap、dumpcap、text2pcap）会被自动检测，并在存在时启用额外功能。
- 工具结果有长度限制：超过 8000 字符的输出会被头尾截断并标记，可通过工具的 offset / limit / display_filter 参数分页查看剩余内容。
- 每个工具都声明是读取还是写入操作，客户端可自动批准 41 个只读分析工具，而对 11 个创建文件的工具（实时捕获、合并、过滤保存、editcap、text2pcap、帧提取、对象导出）仍会提示。
- 在 3.0 版本中，这 11 个写入工具在 WIRESHARK_MCP_ALLOWED_DIRS 指定现有目录之前会失败关闭。远程 HTTP/SSE 绑定也保持仅限回环，除非在受信任的认证 TLS 代理后显式提供 --allow-insecure-http。
使用方式：
- 前提条件：Python 3.10+ 以及 Wireshark 的 tshark 在 PATH 中。
- Wireshark MCP 3.0 使用稳定的 MCP Python SDK 2.x 系列（mcp>=2.1.1,<3）。
- 安装后重启 AI 客户端即可。
- 如果出现问题，可运行 wireshark-mcp doctor 进行诊断。手动配置或平台特定说明请参阅 docs/manual-configuration.md。
- 将 AI 客户端指向 .pcap 文件，即可用自然语言提问。
适用场景：
- 网络数据包分析、协议统计、字段提取和安全分析。
- 与 Claude Desktop、Claude Code、Cursor、VS Code 等 18 种以上 MCP 客户端配合使用。
限制：
- 需要 Python 3.10+ 和 tshark。
- 工具列表会随每个请求的提示前缀传输，默认约 22 KB，是固定的每请求成本。
- 可通过 --profile 减少广告的工具数量，适用于从不捕获实时流量或写入 pcap 的客户端。
- 写入工具默认失败关闭，需要配置允许目录。
- 远程 HTTP/SSE 绑定默认仅限回环，需要显式允许不安全 HTTP 并置于受信任的认证 TLS 代理后。
