Mcpcap

🚀 mcpcap

mcpcap 是一個模塊化的 Python MCP（模型上下文協議）服務器，用於分析 PCAP 文件。它使大語言模型（LLMs）能夠使用特定協議的分析工具來讀取和分析網絡數據包捕獲文件，這些工具可以接受本地文件路徑或遠程 URL 作為參數（無需上傳文件，只需提供 PCAP 文件的路徑或 URL）。

🚀 快速開始

1. 啟動 MCP 服務器

以無狀態 MCP 服務器的形式啟動 mcpcap：

# 默認：使用 DNS、DHCP 和 ICMP 模塊啟動
mcpcap

# 僅使用特定模塊啟動
mcpcap --modules dns

# 設置數據包分析限制
mcpcap --max-packets 1000

2. 連接 MCP 客戶端

配置你的 MCP 客戶端（如 Claude Desktop）以連接到 mcpcap 服務器：

{
  "mcpServers": {
    "mcpcap": {
      "command": "mcpcap",
      "args": []
    }
  }
}

3. 分析 PCAP 文件

通過提供文件路徑或 URL，使用任何 PCAP 文件調用分析工具（無需上傳文件）：

analyze_dns_packets("/path/to/dns.pcap")
analyze_dns_packets("https://example.com/remote.pcap")

analyze_dhcp_packets("/path/to/dhcp.pcap")
analyze_dhcp_packets("https://example.com/dhcp-capture.pcap")

analyze_icmp_packets("/path/to/icmp.pcap")
analyze_icmp_packets("https://example.com/ping-capture.pcap")

analyze_capinfos("/path/to/any.pcap")
analyze_capinfos("https://example.com/capture.pcap")

✨ 主要特性

• 無狀態 MCP 工具：每個分析工具都接受 PCAP 文件路徑或 URL 作為參數（無需上傳文件）。
• 模塊化架構：具備 DNS、DHCP、ICMP 和 CapInfos 模塊，易於擴展以支持新協議。
• 本地和遠程 PCAP 支持：可分析本地存儲的文件或通過 HTTP URL 獲取的文件。
• Scapy 集成：利用 Scapy 強大的數據包解析能力。
• 專業分析提示：提供安全、網絡和取證分析指導。
• JSON 響應：採用結構化數據格式，便於大語言模型處理。

📦 安裝指南

mcpcap 需要 Python 3.10 或更高版本。

使用 pip

pip install mcpcap

使用 uv

uv add mcpcap

使用 uvx（一次性使用）

uvx mcpcap

💻 使用示例

基礎用法

在 MCP 客戶端配置中連接 mcpcap 服務器：

{
  "mcpServers": {
    "mcpcap": {
      "command": "mcpcap",
      "args": []
    }
  }
}

高級用法

在 MCP Inspector 中使用 mcpcap 進行分析：

npm install -g @modelcontextprotocol/inspector
npx @modelcontextprotocol/inspector mcpcap

然後在 MCP Inspector 網頁界面中測試工具：

// 在 MCP Inspector 網頁界面中
analyze_dns_packets("./examples/dns.pcap")
analyze_dhcp_packets("./examples/dhcp.pcap")
analyze_icmp_packets("./examples/icmp.pcap")
analyze_capinfos("./examples/dns.pcap")

📚 詳細文檔

可用工具

DNS 分析工具

• analyze_dns_packets(pcap_file)：全面的 DNS 流量分析。
  • 提取 DNS 查詢和響應。
  • 識別查詢的域名和子域名。
  • 分析查詢類型（A、AAAA、MX、CNAME 等）。
  • 跟蹤查詢頻率和模式。
  • 檢測潛在的安全問題。

DHCP 分析工具

• analyze_dhcp_packets(pcap_file)：全面的 DHCP 流量分析。
  • 跟蹤 DHCP 事務（DISCOVER、OFFER、REQUEST、ACK）。
  • 識別 DHCP 客戶端和服務器。
  • 監控 IP 地址分配和租約信息。
  • 分析 DHCP 選項和配置。
  • 檢測 DHCP 異常和安全問題。

ICMP 分析工具

• analyze_icmp_packets(pcap_file)：全面的 ICMP 流量分析。
  • 分析 ping 請求和響應及其響應時間。
  • 識別網絡連接性和可達性問題。
  • 跟蹤 TTL 值和路由路徑（traceroute 數據）。
  • 檢測 ICMP 錯誤消息（不可達、超時）。
  • 監控潛在的基於 ICMP 的攻擊或偵察行為。

CapInfos 分析工具

• analyze_capinfos(pcap_file)：PCAP 文件元數據和統計信息。
  • 文件信息（大小、名稱、鏈路層封裝）。
  • 數據包統計信息（數量、數據大小、平均數據包大小）。
  • 時間分析（持續時間、時間戳、數據包速率）。
  • 數據吞吐量指標（字節/秒、比特/秒）。
  • 類似於 Wireshark 的 capinfos(1) 實用工具。

分析提示

mcpcap 提供專業的分析提示，以指導大語言模型進行分析：

DNS 提示

• security_analysis - 專注於威脅檢測、DGA 域名、DNS 隧道。
• network_troubleshooting - 識別 DNS 性能和配置問題。
• forensic_investigation - 重建時間線和收集證據。

DHCP 提示

• dhcp_network_analysis - 網絡管理和 IP 管理。
• dhcp_security_analysis - 安全威脅和惡意 DHCP 檢測。
• dhcp_forensic_investigation - DHCP 事務的取證分析。

ICMP 提示

• icmp_network_diagnostics - 網絡連接性和路徑分析。
• icmp_security_analysis - 基於 ICMP 的攻擊和偵察檢測。
• icmp_forensic_investigation - 重建時間線和網絡映射。

配置選項

模塊選擇

# 加載特定模塊
mcpcap --modules dns              # 僅進行 DNS 分析
mcpcap --modules dhcp             # 僅進行 DHCP 分析
mcpcap --modules icmp             # 僅進行 ICMP 分析
mcpcap --modules dns,dhcp,icmp,capinfos    # 加載所有模塊（默認）

分析限制

# 限制大文件的數據包分析數量
mcpcap --max-packets 1000

完整配置示例

mcpcap --modules dns,dhcp,icmp,capinfos --max-packets 500

CLI 參考

mcpcap [--modules MODULES] [--max-packets N]

選項：

• --modules MODULES：要加載的模塊，用逗號分隔（默認：dns,dhcp,icmp,capinfos）。
  • 可用模塊：dns、dhcp、icmp、capinfos。
• --max-packets N：每個文件最多分析的數據包數量（默認：無限制）。 示例：

# 啟動並加載所有模塊
mcpcap

# 僅進行 DNS 分析
mcpcap --modules dns

# 對大文件設置數據包分析限制
mcpcap --max-packets 1000

🔧 技術細節

架構

mcpcap 的模塊化設計便於擴展：

核心組件

1. BaseModule：負責共享的文件處理、驗證和遠程下載。
2. 協議模塊：實現 DNS、DHCP 和 ICMP 分析。
3. MCP 接口：負責工具註冊和提示管理。
4. FastMCP 框架：實現 MCP 服務器。

工具流程

MCP 客戶端請求 → analyze_*_packets(pcap_file)
                  → BaseModule.analyze_packets()
                  → 模塊._analyze_protocol_file()
                  → 結構化 JSON 響應

添加新模塊

通過以下步驟創建新的協議模塊：

1. 繼承 BaseModule。
2. 實現 _analyze_protocol_file(pcap_file) 方法。
3. 向 MCP 服務器註冊分析工具。
4. 添加專業分析提示。 未來可能支持的模塊包括：

• HTTP/HTTPS 流量分析。
• TCP 連接跟蹤。
• BGP 路由分析。
• SSL/TLS 證書分析。
• 網絡取證工具。

遠程文件支持

兩個分析工具都支持通過 HTTP/HTTPS URL 分析遠程 PCAP 文件：

# 遠程分析示例
analyze_dns_packets("https://wiki.wireshark.org/uploads/dns.cap")
analyze_dhcp_packets("https://example.com/network-capture.pcap")
analyze_icmp_packets("https://example.com/ping-test.pcap")
analyze_capinfos("https://example.com/network-metadata.pcap")

特性：

• 自動臨時下載和清理。
• 支持 .pcap、.pcapng 和 .cap 文件。
• 支持 HTTP/HTTPS 協議。

📄 許可證

本項目採用 MIT 許可證。

⚠️ 重要提示

分析 PCAP 文件時需注意，這些文件可能包含敏感的網絡信息。儘可能通過 HTTPS 進行遠程下載，臨時文件會自動清理，但仍需考慮遠程文件的來源和可信度。

💡 使用建議

若要為項目做貢獻，可以考慮添加新的協議模塊（如 HTTP、BGP、TCP 等），改進現有的 DNS/DHCP 分析，增加安全特性以增強威脅檢測能力，或者優化大 PCAP 文件的分析性能。

其他信息

要求

• Python 3.10+
• scapy（數據包解析和分析）
• requests（遠程文件訪問）
• fastmcp（MCP 服務器框架）

文檔

• GitHub：github.com/mcpcap/mcpcap
• 文檔：docs.mcpcap.ai
• 網站：mcpcap.ai

支持

如有問題、疑問或功能請求，請在 GitHub 上提交 issue。