mcpsnoop

Wireshark для MCP. Прозрачный прокси, который показывает каждый реальный вызов инструмента между вашим AI-клиентом и вашими MCP-серверами, в реальном времени в вашем терминале.

mcpsnoop demo

Проблема

Официальный MCP Inspector подключается как собственный клиент, поэтому он никогда не видит, что ваш клиент (Cursor, Claude Code, Codex) на самом деле отправляет вашему серверу. А всё, что ждёт поступления запроса, не может показать вызов, который модель так и не сделала или сделала с неверными аргументами. Когда инструмент молча не вызывается, возможности не совпадают или вызов просто зависает, вам остаётся копаться в логах и гадать.

Повторите `redact-key`, `redact-value` и `redact-path` на отдельных строках, чтобы добавить несколько значений каждого типа. Это все ключи, которые он поддерживает. Файл ищется только в текущей рабочей директории, а не в родительских директориях. Явные флаги командной строки переопределяют значения из файла конфигурации. ## Команды | Команда | Что она делает | |---|---| | `mcpsnoop -- <server>` | обернуть stdio-сервер как прозрачный прокси-слой | | `mcpsnoop` | открыть интерактивный TUI | | `mcpsnoop http --target <url>` | проксировать потоковый HTTP-сервер | | `mcpsnoop export` | отобразить сессию в json, html, text, har или otlp | | `mcpsnoop check` | завершить CI с ошибкой при ошибках, невалидных фреймах, предупреждениях, несоответствиях маршрутизации, зависших вызовах, поздних результатах или превышении бюджета задержки | | `mcpsnoop baseline` | просмотреть, принять или сбросить доверенные определения инструментов | | `mcpsnoop diff` | сравнить инструменты и вызовы между двумя захваченными сессиями | | `mcpsnoop open` | открыть сохранённую сессию в TUI | | `mcpsnoop inventory` | вывести список всех серверов, которые запускались через mcpsnoop на этой машине | | `mcpsnoop stats` | свернуть все сохранённые захваты в одну строку на сервер и инструмент | | `mcpsnoop prune` | удалить сохранённые журналы сессий старше заданного порога | | `mcpsnoop wrap <server>` | направить один из серверов Claude Desktop через mcpsnoop | | `mcpsnoop unwrap <server>` | вернуть запись этого сервера в исходное состояние | | `mcpsnoop remote <user@host>` | вывести команду SSH-туннеля | | `mcpsnoop demo` | воспроизвести сценарную сессию | Выполните `mcpsnoop help` для полного списка или `mcpsnoop help <command>` для флагов конкретной команды. ## Сравнение | | MCP Inspector | mcpsnoop | |---|:---:|:---:| | Видит ваш реальный трафик клиента и сервера | нет | да | | Отмечает зависшие вызовы и ошибки потока | нет | да | | Отмечает посторонний вывод, повреждающий поток | нет | да | | Отмечает некорректные JSON-RPC фреймы | нет | да | | Обнаруживает расхождение определений инструментов после утверждения | нет | да | | Интерактивный терминальный интерфейс | нет | да | | Без конфигурации, без флагов и порядка | нет | да | | Инспектор возможностей | частично | да | | Воспроизведение захваченного вызова | нет | да, через stdio и HTTP | | Экспорт сессии (json / html / text / otlp) | нет | да | | Один бинарный файл, без зависимостей времени выполнения | нет | да | ## Установка ### npm Инструментарий Go не требуется. Большинство MCP-серверов написаны на Node или Python, поэтому это самый короткий путь.```bash npx mcpsnoop -- node build/index.js

`--older-than` является обязательным (нет значения по умолчанию, которое удаляло бы что-либо) и принимает количество дней, например `30d`, или длительность в формате Go, например `72h`. Базовые линии инструментов не затрагиваются, поскольку базовая линия привязана к метке сервера, а не к сессии. Поскольку он находится непосредственно в конвейере, а не в стороне, как Inspector, он видит именно то, что ваш реальный клиент и сервер говорят друг другу, независимо от того, на чём написан сервер. ## Сочетания клавиш | Клавиша | Действие | | Клавиша | Действие | |---|---|---|---|---| | `enter` | просмотр / углубление | | `/` | фильтр | | `esc` | назад | | `:` | команда | | `j` / `k` | перемещение | | `r` / `R` | повтор / редактирование и повтор | | `g` / `G` | вверх / вниз | | `c` | возможности | | `ctrl-f` / `ctrl-b` | страница | | `s` | сводка по инструменту | | `p` | пауза | | `y` | копировать | | `shift`+`<клавиша>` | сортировка по столбцу | | `e` | экспорт | | `ctrl-d` | удалить сессию | | `f` | следовать | | `?` | справка | | | | Нажмите `?` в приложении для получения полного списка. ## Фильтрация потока Нажмите `/` в сессии и комбинируйте токены, разделённые пробелами, с логическим И. Обычный текст соответствует методу, инструменту, идентификатору и полезной нагрузке. | Токен | Фильтрует по | Пример | |---|---|---| | `tool:` | имени инструмента | `tool:search` | | `method:` | методу JSON-RPC | `method:tools/call` | | `id:` | идентификатору запроса и любому повтору, продолжающему его | `id:7` | | `task:` | идентификатору задачи | `task:01J...` | | `dir:` | направлению (`c2s`, `s2c`) | `dir:s2c` | | `kind:` | типу кадра (`req`, `resp`, `notify`, `stderr`, `invalid`) | `kind:invalid` | | `status:` | результату вызова (`ok`, `error`, `cancel`, `late`, `cancelled`, `pending`, `bad`, `warn`, `mismatch` или HTTP-статусу, например `401`) | `status:error` | Комбинируйте токены для точной настройки.```text tool:search status:pending # in-flight calls to one search tool status:cancel # calls the client gave up on (status:cancelled is a cancelled task) status:late # results that arrived after the cancellation method:tools/call status:error # tool calls that failed dir:s2c kind:req # server-initiated requests (servers before 2026-07-28)

| Формат | Что вы получаете | |---|---| | `json` | скоррелированные вызовы, количество по каждому инструменту и задержки p50/p95/p99, самые медленные вызовы, возможности и необработанные кадры | | `html` | автономный браузерный файл с поиском и сворачиваемым JSON | | `text` | аккуратный текстовый дамп в читаемом виде | | `har` | по одной записи на каждый скоррелированный вызов, открывается в инструментах разработчика браузера и в любом другом, что читает HAR | | `otlp` | OTLP JSON с одним span на каждый скоррелированный вызов, с W3C trace context, соединяющим трассы вызывающего кода там, где он присутствует, и одной трассой на сессию в противном случае | MCP — это не HTTP, поэтому URL, код состояния и тайминги записи HAR являются намеренным отображением каждого вызова, а не транскрипцией сетевого трафика. Для OTLP поле `_meta.traceparent` запроса задаёт трассу и идентификаторы родительского span для этого вызова, а `_meta.tracestate` передаётся вместе со span. Когда traceparent отсутствует или недействителен, mcpsnoop сохраняет трассу, производную от сессии, и не несёт никакого состояния. mcpsnoop наблюдает, а не участвует, поэтому он не добавляет собственной записи поставщика и передаёт состояние вызывающего кода без изменений.```bash mcpsnoop export -T html -o out.html # an HTML file to open in a browser mcpsnoop export -T text server.py-48213-7f3a1c9e2b04 # a specific session, as text mcpsnoop export -T json | jq # the newest session, piped to jq mcpsnoop export -T har -o session.har # a HAR file to open in browser devtools mcpsnoop export -T otlp -o trace.json # import into an OTLP-compatible tracing backend

Эти флаги перезаписывают экспортированный файл или представление TUI в памяти, но никогда не изменяют исходный JSONL. `export` отказывается записывать вывод в файл с тем же именем, что и входной, и записывает через временный файл, который затем переименовывается на место, поэтому при сбое выполнения предыдущий файл остаётся нетронутым. `inputSchema` и `outputSchema` инструмента, как они объявлены в результате `tools/list`, не затрагиваются `--redact-key` и `--redact-secrets` по трём причинам. - Имя внутри схемы — это объявление типа, а не значение. - Само имя в любом случае остаётся в журнале. - Очистка подсхемы под свойством с именем `token` удалила бы и собственные проверки инструмента. Исключение действует только для этой позиции, поэтому аргумент, который случайно называется `inputSchema`, очищается как и любой другой, и очистка останавливается на `default`, `const`, `examples` и `enum`, которые содержат данные, а не структуру. Используйте `--redact-path`, чтобы указать что-то внутри схемы, или `--redact-value`, который сопоставляет текст в любом месте, кроме двух ключевых слов, которые анализирует mcpsnoop: `type` и `x-mcp-header`. Действие каждого флага различается, поэтому проверяйте результат, а не предполагайте. Все четыре очищают полезные нагрузки JSON-RPC, и `--redact-key`, `--redact-path` и `--redact-secrets` затрагивают только их. Только `--redact-value` также очищает stderr, другой не-JSON текст и содержимое строк. Заголовок `Mcp-Param-*` очищается вместе со значением тела, которое он отражает. Остальные метаданные конверта, метки сервера, `Mcp-Name`, `Mcp-Method` и HTTP-статус остаются в том виде, в котором были записаны. Очистка выполняется по принципу «лучшее усилие», поэтому используйте отдельный путь вывода и прочитайте результат перед тем, как делиться им. ### Потоковая передача завершённых вызовов в коллектор OTLP Отправляйте спаны во время работы прокси, указав ему конечную точку трассировок OTLP/HTTP JSON. Повторяйте `--otlp-header` для аутентификации коллектора или заголовков тенанта.```bash mcpsnoop \ --otlp-endpoint http://localhost:4318/v1/traces \ --otlp-header "Authorization=Bearer $OTLP_TOKEN" \ -- node build/index.js mcpsnoop http \ --target http://localhost:3000/mcp \ --otlp-endpoint http://localhost:4318/v1/traces

Отчёт показывает инструменты, которые были добавлены или удалены, изменения описания и `inputSchema`, изменения статуса соответствующих вызовов инструментов, а также заметные сдвиги длительности. Вызовы сопоставляются по имени инструмента и аргументам, поэтому переупорядоченные вызовы всё равно корректно сравниваются. По умолчанию изменения длительности должны отличаться как минимум на 100 мс и в 2 раза. Используйте `--duration-threshold` и `--duration-ratio`, чтобы настроить эти пороговые значения. Передайте `--exit-code`, чтобы ограничить CI по регрессиям. Он завершается с ненулевым кодом, когда сессия после: - удаляет инструмент - изменяет описание инструмента, заголовок, входную схему, выходную схему или аннотации - имеет вызов, чей статус ухудшился - замедляется Изменение значка не учитывается, поскольку оно меняет внешний вид инструмента, не изменяя того, что он делает. Улучшения, то есть добавленные инструменты, исправленные вызовы и ускорения, по-прежнему завершаются с нулевым кодом. ## Проверка сессий в CI Ограничьте записанный запуск агента по ошибкам, повреждению потока, предупреждениям протокола, несоответствиям заголовков маршрутизации, вызовам, которые так и не получили ответа, отброшенным кадрам, которые оставляют захват неполным, дрейфу определений инструментов или использованию устаревших функций протокола.```bash mcpsnoop check [--format text|junit|sarif] [--fail-on error,invalid,warn,mismatch,pending,late-result,drift,deprecated,incomplete,schema] [session-id|log.jsonl|-]

Закрепите релиз — любой, какой хотите. Самый свежий — на [странице релизов](https://github.com/kerlenton/mcpsnoop/releases). Плавающего `v1` намеренно нет. Закреплённый релиз — это также бинарник, который устанавливает действие, так что они никогда не могут разойтись, и нет версии по умолчанию, которая могла бы устареть. | Вход | | |---|---| | `session` | захват `.jsonl` для проверки, относительно корня репозитория. Обязательно | | `fail-on` | как `--fail-on`, по умолчанию — то же, что и у CLI | | `args` | любые другие флаги `check`, в кавычках, как в командной строке. `--format` отклоняется, так как действие читает отчёт | | `upload-sarif` | отправить отчёт в code scanning. `true` | | `category` | пространство имён code scanning. `mcpsnoop`. Меняйте его для каждой ветви матрицы, иначе ветви перезапишут друг друга | | `fail-on-findings` | завершить задачу ошибкой при наличии находки. `true`. Установите `false`, чтобы оформить алерты и позволить обязательной проверке code scanning решить | | `version` | какой mcpsnoop установить. По умолчанию — релиз, который вы закрепили | | `install` | `false`, когда mcpsnoop уже в PATH, — так делается на платформе, для которой нет собранного релиза | Выходные данные — `outcome`, `sarif` и `exit-code`. `outcome` принимает значения `passed`, `findings` или `error`, и третье стоит обрабатывать отдельно. Оно означает, что ничего не было проверено, а это не то же самое, что ничего не найдено. **Запуск, который не смог проверить, завершает задачу ошибкой, что бы ни говорил `fail-on-findings`**, потому что пайплайн, который становится зелёным, ничего не проверив, хуже того, который падает. Задаче нужно право `security-events: write`, иначе загрузка ответит 403. Установите `upload-sarif: false` в репозитории без code scanning. ### Или подключите сами Действие — это четыре шага и никакой магии. Делая это вручную, нужно проявить ту же осторожность. Загрузка должна выполняться на запусках, у которых есть отчёт, — это те, что завершились с кодом 0 или 1, а не те, что с кодом 2, и шаг, который завершает задачу ошибкой, должен идти после неё, иначе находки никогда не попадут на вкладку, ради которой они существуют.```yaml permissions: # required for all workflows security-events: write # only required for workflows in private repositories actions: read contents: read steps: - name: Check captured MCP session id: check run: | code=0 mcpsnoop check --format sarif artifacts/session.jsonl > mcpsnoop.sarif || code=$? echo "exit-code=$code" >> "$GITHUB_OUTPUT" # 2 means the check never happened, so there is no report to publish and # nothing was verified. Stop here rather than uploading an empty file. [ "$code" -le 1 ] || exit 1 - name: Upload mcpsnoop SARIF report if: ${{ !cancelled() }} uses: github/codeql-action/upload-sarif@v4 with: sarif_file: mcpsnoop.sarif category: mcpsnoop - name: Fail on findings # Separate, and after the upload, so the findings reach the Security tab on # exactly the runs that have some. if: ${{ !cancelled() && steps.check.outputs.exit-code == '1' }} run: exit 1

Как и `drift`, `deprecated` включается явно. При запуске по умолчанию выводится количество и статус остаётся зелёным, поэтому сеанс, использующий всё ещё допустимую устаревшую функцию, сам по себе никогда не переведёт CI в красный статус. ### Конструкции схемы флагов, которые клиенты обрабатывают некорректно Сервер может быть полностью корректным и при этом оставаться сложным для использования агентом. Клиенты различаются по тому, насколько полно они поддерживают JSON Schema, и инструмент, который модель продолжает вызывать неправильно, часто оказывается инструментом, чья схема требовала от клиента большего, чем тот может обеспечить. Сводка по инструментам, открываемая клавишей `s`, содержит колонку SCHEMA, в которой указывается наиболее примечательная особенность схемы каждого рекламируемого инструмента, с завершающим знаком `+`, если таких особенностей несколько. | Показано | Значение | |---|---| | `no root` | `inputSchema` отсутствует, не является JSON-объектом или имеет корневой тип, отличный от `"object"` | | `dialect` | `$schema`, указывающий на диалект, отличный от 2020-12, который используется по умолчанию в ревизии | | `ext ref` | `$ref`, указывающий за пределы документа, — это также случай, когда спецификация предупреждает разработчиков не следовать ссылке вслепую | | `oneOf`, `anyOf`, `allOf`, `not` | ключевое слово композиции, обрабатываемое клиентами непоследовательно | | `ref` | `$ref`, указывающий внутри того же документа | | `untyped` | свойство, которое не объявляет тип и не предоставляет иного способа указать, что оно принимает | Все пункты, кроме первого, являются наблюдениями, а не вердиктами. Схема, использующая `oneOf`, не является ошибочной — просто разные клиенты, скорее всего, прочитают её по-разному, и схема может объявлять любой диалект, какой пожелает. Исключением является `no root`: определение `Tool` требует `inputSchema` и фиксирует его корневой тип как `"object"`, поэтому клиент, проверяющий список, отклоняет такой инструмент полностью, и он никогда не становится вызываемым, при этом в передаваемых данных нет ничего, что объясняло бы причину. Именно поэтому `no root` возглавляет колонку, а схема, вычищенная собственной редакцией mcpsnoop, никогда не сообщается, поскольку нечитаемая схема — это не ошибочная схема. Это разделение определяет, что `check` делает с ними. `no root` — это предупреждение на кадре `tools/list`, поэтому оно не проходит стандартный фильтр `error,invalid,warn` вообще без каких-либо флагов, и в этом суть: сервер, поставляющий непригодный инструмент, нормально отвечает на каждое рукопожатие и просто никогда не получает `tools/call`. Наблюдения учитываются как `schema_findings` и сообщаются в разделе `schema findings:`, и приводят к сбою запуска только при добавлении `schema` в `--fail-on`. Оба варианта попадают в `--format junit` и `--format sarif`, а `export` переносит поинструментальный список в `summary.definitions.per_tool[].findings`.```bash mcpsnoop check session.jsonl # a non-object root already fails this mcpsnoop check --fail-on schema session.jsonl # and now so do the observations

Без `--replay-target` HTTP-сессия сообщает об этом, а не предлагает ключ, который не может работать. С ним `r` по-прежнему спрашивает перед первой отправкой сессии, точно так же, как записанная команда подтверждается перед её выполнением. Учётные данные достигают сервера через `--replay-header` и нигде больше. mcpsnoop не записывает заголовок `Authorization` и не воспроизводит ни одного, так что нечего перехватывать для утечки при воспроизведении. Повторно отправленный POST несёт то, что делает обязательным транспорт, чего не делает POST с голым захваченным телом: `MCP-Protocol-Version`, `Accept` со списком как `application/json`, так и `text/event-stream`, `Mcp-Method`, `Mcp-Name` там, где это требует спецификация, и каждый захваченный `Mcp-Param-*`. Они повторно отправляются дословно из захвата, включая sentinel в base64, поэтому не могут расходиться с телом так, как могло бы повторное вычисление. Единственный заголовок, который не копируется, — это версия протокола, потому что повторно отправленное тело объявляет ревизию, на которой говорит mcpsnoop, а заголовок должен соответствовать телу. `Mcp-Name` вычисляется из отправляемого тела, а не копируется, потому что спецификация берёт его из `params.name` или `params.uri` и требует, чтобы сервер отклонял заголовок, который расходится с телом, поэтому правка, переименовывающая инструмент, иначе отправила бы старое имя. Заголовки `Mcp-Param-*` отражают захваченные аргументы, поэтому при отредактированном воспроизведении ни один из них не отправляется, а не утверждается что-то о теле, которое кто-то переписал. Захват может задавать заголовки только в этом одном семействе. Журнал — это файл, который люди передают друг другу, и разрешение ему называть любой заголовок позволило бы перезаписать обязательные или добавить учётные данные, которые никто не передавал. `Mcp-Param-*`, который вычистило правило редактирования, останавливает воспроизведение с указанием причины. Отправка заглушки поместила бы собственные байты mcpsnoop на живой сервер, как будто их ввёл пользователь. Перенаправление отклоняется, а не выполняется. Адрес — это тот, который вы назвали и подтвердили, и следование за 307 передало бы этот выбор удалённой стороне, повторно отправив тело и, на переходе, меняющем только порт, также учётные данные. mcpsnoop сообщает, куда сервер хотел его отправить, и позволяет вам решить, не назвать ли именно этот адрес вместо этого. Ответ, приходящий как единый JSON-объект, и ответ, приходящий как поток событий, оба читаются, и сбой называется по имени, а не по номеру: - `401` сообщает схему, которую потребовал сервер - `-32020` сообщает, на что он возражал - не-JSON-RPC `400` или `404` говорит, что адрес не является конечной точкой Streamable HTTP этой ревизии ### Отличайте задержку сервера от задержки пользователя При запросах с несколькими циклами один вызов инструмента — это несколько запросов, и секунды, которые человек потратил на ответ на уточнение, находятся внутри этого интервала. Это намеренно, поскольку этот интервал обычно тот, который вы больше всего хотите увидеть, но это означает, что одно число не может ответить на оба вопроса. В цепочке `book_flight`, где сервер работал 1,2 секунды, а пользователь потратил 37, `check --max-duration 5s` обвиняет инструмент за 38,2 секунды. Он по-прежнему так делает, потому что изменение значения этого флага ослабило бы каждый конвейер, который уже его задаёт. Два родственных флага называют то, что они измеряют, вместо этого.```bash mcpsnoop check --max-server-duration 1s session.jsonl # the server's share alone mcpsnoop check --max-round-trips 2 session.jsonl # how chatty a tool is

Оба параметра по умолчанию выключены, поэтому стандартный запуск `check` не затрагивается, и оба считываются из временных меток кадров и связи, которую mcpsnoop уже вывел, так что ни один из них не угадывает намерения. Нажмите `i` в TUI для разбивки или прочитайте `interactions` в экспортах json, text и html. Каждая запись — это одна логическая операция с количеством её циклов, её общим временем, долей, которую сервер удерживал её, и долей, которую она ждала клиента, плюс строка на каждый хоп с указанием того, что запрашивал каждый ответ. Сводка по каждому инструменту получает столбец `TRIPS`, чтобы болтливый инструмент был виден без открытия чего-либо. `export --format har` помещает долю сервера в `wait`, а остальное — в `blocked`, что и предназначено для этого поля, чтобы просмотрщик перестал рисовать 38-секундное ожидание сервера, которого никогда не было. Счётчики и две доли накапливаются по мере поступления кадров, а не вычисляются по запросу, потому что живое хранилище освобождает старые кадры, чтобы оставаться в рамках своего бюджета, и производный ответ тихо оказался бы окном, а не цепочкой. Разбивка по хопам считывается из ещё удерживаемых кадров и явно указывает, когда она охватывает лишь часть цепочки. `ServerTime + ClientTurnaround` равно общему времени по построению, а не по арифметике, которой кому-то приходится доверять. `--max-round-trips` оценивает цепочку, которая всё ещё выполняется, потому что каждый уже сделанный ею запрос поддаётся подсчёту, а сервер, спрашивающий снова и снова, порождает ровно ту операцию, которую никто никогда не завершает. `--max-server-duration` ждёт завершения, что является правилом, которое уже применяет `--max-duration`, поскольку у всё ещё открытой операции нет задержки для оценки. Операция, которую mcpsnoop не смог связать, остаётся собственной записью с одним хопом. `matchRetry` намеренно отказывается от неоднозначной связи, и это представление не заполняет этот пробел. Операция, занявшая один запрос, не несёт разбивки по хопам, потому что один хоп дословно повторяет итоги выше. Цепочка сообщает по одному хопу на запрос и явно указывает, когда хранилище больше не удерживает каждый кадр или когда работа осела вне пары запрос-ответ, из которой состоит хоп, как это делает дескриптор задачи. ### Посмотреть, что сервер запросил у вашего пользователя Элиситация — это единственный путь в MCP, где человек вводит данные в сервер, и при MRTR вопрос и ответ больше не являются двумя половинами одного обмена. Вопрос погребён в `InputRequiredResult`, ответ возвращается внутри `inputResponses` при повторной попытке под другим id, и единственное, что их связывает, — это связь, которую mcpsnoop уже выводит. Без этого сопоставления отклонённый запрос пароля читается как обычная ошибка инструмента.``` tools/call login_legacy [form] creds: decline after 3s password string

Одна строка на сервер, а не на сессию. Ключом строки являются записанная команда и рабочая директория, а не метка, потому что метка берётся из последнего элемента пути команды, и `node ~/one/build/index.js` и `node ~/two/build/index.js` оба дают `index.js`. HTTP-сессия вместо этого ключуется по эндпоинту, который она проксировала, поскольку mcpsnoop там ничего не запускал. Чтение — это один конверт на лог, мета-кадр, который прокси записывает первым, так что это остаётся дешёвым для каталога с большими захватами. `--tools` — исключение и читает один лог на сервер, самый последний запуск каждого, поэтому это флаг, а не колонка. Даже тогда чтение ограничено, потому что инвентарь инструментов — это состояние сессии, которое хранилище сворачивает по ходу дела, так что захват на сотню мегабайт читается через фиксированное окно, а не удерживается целиком, чтобы получить одно целое число. Когда счётчика нет, строка сообщает, что из трёх вещей произошло, потому что лог, который не удалось прочитать, — это не сервер, который ничего не анонсировал, и одно предложение для обоих заставило бы mcpsnoop утверждать что-то ложное. Команда, переписанная правилом `--redact`, печатается как записанная и помеченная, а не выдаётся за команду, которая выполнялась. Два запуска одного сервера, один очищенный, а другой нет, — это две строки. mcpsnoop не может знать, что заменил плейсхолдер, и их слияние означало бы предположение, что скрытые половины совпали. Один сервер, запущенный под двумя значениями `--label`, — это одна строка с обоими именами, поскольку ключом является команда, а не имя. Ничего в строке не записывается mcpsnoop. Команда приходит от того, кто установил сервер, рабочая директория берётся из файловой системы, а производная метка берётся из команды. Значение, содержащее управляющий символ, заключается в кавычки, а не печатается как есть, чтобы директория, имя которой содержит перевод строки, не могла закрыть поле, в котором она печатается, и заставить следующие строки читаться как серверы, которые никогда не запускались. Аргумент, содержащий пробел, тоже заключается в кавычки, потому что `node "~/My Project/ build/index.js"` иначе неотличим от двух аргументов. Всё, что обход не смог свернуть, указывается в заголовке, а не отбрасывается. Пустые логи считаются отдельно от повреждённых, поскольку лог нулевого размера — это обычный остаток запуска, чей exec завершился неудачей, или HTTP-прокси, который никто не вызывал. Вывод сортируется по имени, а не по давности, чтобы два запуска по одному каталогу давали одинаковые байты, что и делает его пригодным в качестве базовой линии для сравнения с более поздними версиями. Два пробела присутствуют по построению, а не по недосмотру. Запуск с `--trace-file` писал вне каталога сессий и не появится, а `prune` удаляет логи, так что «впервые замечен» никогда не старше того, что ещё есть на диске. mcpsnoop сообщает, что запускалось на этой машине через него. Он не сканирует сеть, не читает конфигурацию клиента, на которую не был указан, и ничего не оценивает. ### Отличить сломанный сервер от инструмента, который говорит «нет» Инструмент, отвечающий `result.isError`, работает. Он посмотрел и ничего не нашёл, или он отклонил ввод. Сервер, отвечающий ошибкой JSON-RPC, сломан. Оба были одним числом в сводке инструментов, что означало, что корректно работающий инструмент, сообщающий о доменных сбоях, выглядел точно так же, как сломанный сервер, и сортировался выше него. Колонка `ERR` разделяет их. Красный — это сторона сервера, то есть ошибка JSON-RPC или задача, завершившаяся неудачей без объяснения причин. Предупреждающий цвет — это собственный `isError` инструмента. Инструмент с обоими показывает объединённые счётчики, красный первым, и строка под таблицей называет две суммы всякий раз, когда есть число предупреждений, которое нужно объяснить. Экспорт несёт то же разделение как `protocol_errors` и `tool_errors` рядом с итогом `errors`, которому они всегда в сумме равны. `check --fail-on error` не изменился и по-прежнему срабатывает на любом из них, поскольку шлюз, игнорирующий один из них, был бы шлюзом, который сервер мог бы отключить, вернув другой.```bash mcpsnoop export -T json | jq '.summary.tools[] | {name, errors, protocol_errors, tool_errors}'

Экспорт содержит те же показатели — по каждому инструменту и с разбивкой на байты описания и байты схемы, так что «толстое» описание и «толстая» схема остаются разделимыми, и за каждой из них можно следить между снимками. `mcpsnoop diff` сообщает, изменилось ли описание или схема между двумя сеансами. Экспорт — это то место, где живёт размер этого изменения. **Это байты, а не токены.** Количество токенов зависит от модели, поэтому для его измерения пришлось бы встраивать токенизатор и выбирать, чей именно. Байты точны, и вы можете применить собственное соотношение. Незавершённый `tools/list` сообщает то, что увидел, как нижнюю границу, и прямо об этом говорит, а не выдаёт частичную сумму за общий итог. ### Обнаружение клиента, который портит состояние сервера В рамках многораундового шаблона сервер передаёт клиенту непрозрачный `requestState`, и клиент обязан вернуть его без изменений при повторной попытке. Серверу предписано считать эти данные вводом, контролируемым атакующим, потому что клиент, который их подделывает, может попытаться изменить поведение сервера или обойти проверку авторизации. Находясь в канале передачи, mcpsnoop видит, как значение уходит и возвращается, поэтому может сказать, когда контракт был нарушен. Есть три способа нарушения, каждый из которых сообщается как предупреждение протокола при повторной попытке. | Сообщение | Значение | |---|---| | `MRTR retry changed requestState` | клиент вернул что-то иное, чем выдал сервер | | `MRTR retry is missing requestState` | сервер выдал значение, а повторная попытка его опустила | | `MRTR retry invented requestState` | повторная попытка несла значение, которое сервер никогда не выдавал | Это нарушения протокола со стороны клиента, а не наши наблюдения, поэтому они идут по обычному сигналу предупреждения, и **запуск `check` по умолчанию завершается ошибкой при таком нарушении**. Это сделано намеренно. Клиент, портящий состояние сервера, — достаточный повод остановить сборку. Само значение никогда не отображается и не записывается в журнал, и ничто его не декодирует и не разбирает. Это может быть зашифрованный блок, несущий субъект и токен, и сравнение непрозрачных байтов — вся проверка. Один случай остаётся вне досягаемости. Когда сервер отвечает `requestState` без `inputRequests`, подделанная повторная попытка не совпадает ни с чем и не даёт ответа ни на один ключ, поэтому её не с чем связать с исходным запросом, и она читается как несвязанный вызов, а не как нарушение. Брошенный обмен не мешает следующему и не хранится вечно. Шестьдесят четыре открытых обмена — это гораздо больше, чем есть у любого клиента одновременно, поэтому сеанс, удерживающий больше, держит те, которые никто не завершит, и самые старые выводятся из обращения, потому что спецификация предписывает серверам давать такому состоянию короткий срок действия и отклонять его после. Вывод из обращения учитывается, а не происходит молча. В нижнем колонтитуле потока показывается `N unlinked`, а экспорт несёт `session.retired_exchanges`, потому что повторная попытка, которая всё же приходит для выведенной из обращения операции, читается как собственный вызов, и читателю, сравнивающему счётчики, следует об этом сообщить. Вывод одной операции из обращения также позволяет живому хранилищу освободить её. Приостановленная операция остаётся ожидающей намеренно, поэтому её длительность охватывает весь обмен, и хранилище отказывается забывать ожидающий вызов, потому что ответ всё ещё может прийти. Как только предел вывел операцию из обращения, ничто не может на неё ответить, поэтому её удержание поддерживает вызов, до которого ни один читатель не может добраться. То, что сообщает сеанс, не меняется. Операция по-прежнему считается ожидающей и по-прежнему учитывается в `N unlinked`, потому что то, сколько памяти занимает запись, и то, что говорит запись, — разные вопросы. Брошенный обмен не мешает следующему. MRTR предписывает серверам не предполагать, что клиент когда-либо повторит попытку, поэтому пользователь, отклоняющий запрос-уточнение, оставляет операцию, которую ни один последующий кадр никогда не урегулирует. mcpsnoop сначала ищет среди операций, чьё наличие `requestState` согласуется с повторной попыткой, что спецификация делает правилом в обоих направлениях, поэтому соответствующая повторная попытка всё равно находит ту единственную операцию, которую она продолжает, даже если рядом сидит брошенный обмен по тому же инструменту. Проверка, сообщающая о трёх нарушениях выше, запускается только тогда, когда ничто не согласуется, поэтому по-настоящему несоответствующая повторная попытка всё равно называется. ## Наблюдение с другой машины Держите захват локально на машине, где происходит трафик, и используйте SSH для сетевого перехода, чтобы mcpsnoop никогда не нуждался в собственном удалённом транспорте. ### Живой просмотр Запустите TUI на своей рабочей станции и пробросьте сокет mcpsnoop удалённой машины обратно к ней. Живой туннель использует пересылку Unix-сокетов через SSH, поэтому оба конца должны работать под Linux или macOS. На Windows используйте посмертную копию журнала ниже.```bash # on your workstation, start the TUI mcpsnoop # create the remote socket directory once ssh remote-user@remote-host 'mkdir -p ~/.local/state/mcpsnoop' # print the tunnel command, then run the printed ssh -R line mcpsnoop remote remote-user@remote-host # on the remote host, wrap your server as usual mcpsnoop -- node build/index.js

## Security mcpsnoop запускает команду сервера, которую вы оборачиваете, поэтому оборачивайте только те серверы, которым доверяете, а недоверенные запускайте в контейнере. Он никогда не выполняет ничего, что вы не указали в конфигурации своего клиента. Для удалённых рабочих процессов используйте SSH-туннелирование или передачу файлов по SSH, чтобы аутентификация транспорта, шифрование, проверка хоста, ротация ключей и политика аудита оставались в вашей существующей SSH-настройке. ### Редактирование того, что вы захватываете Захваченные кадры могут включать подсказки, аргументы инструментов, учётные данные и результаты работы инструментов. Если полезная нагрузка может содержать секреты, включите редактирование, чтобы очистить наблюдаемые копии трассировки, в то время как проксируемые байты по-прежнему проходят без изменений. Редактирование на основе ключей заменяет целые значения под соответствующими ключами JSON-объектов, и тот же набор ключей применяется по мере возможности к аргументам командной строки обёрнутого сервера, поэтому `--api-key=sk-x` и `--token sk-x` очищаются при `--redact-secrets`. Аргумент, содержащий секрет без узнаваемого имени флага, обнаружить невозможно. HTTP-конечная точка не входит в это, поскольку это не полезная нагрузка, которую вы выбрали отправить. `--target` — это флаг, который необходимо передать, чтобы вообще запустить прокси, поэтому его URL попадёт в журнал сеанса независимо от ваших настроек редактирования. mcpsnoop записывает его с уже удалёнными userinfo, каждым значением запроса и фрагментом — всегда, по построению, а не по шаблону. Ключи запроса сохраняются, поскольку именно они отличают две конечные точки одного хоста, а фрагмент отбрасывается, потому что он изначально не достигал сервера. Записанное идентифицирует сервер и не является адресом для соединения. Редактирование на основе пути заменяет только значения, выбранные выражением JSONPath, что полезно, когда распространённое имя ключа чувствительно в одном месте, но безопасно в другом. Повторите `--redact-path`, чтобы очистить более одного места. Редактирование на основе значений применяет регулярные выражения к наблюдаемым строковым значениям, тексту stderr и не-JSON текстовым кадрам. Все три метода работают по мере возможности. Регулярные выражения могут пропустить секреты, чрезмерно захватить безобидный текст или не увидеть преобразованные или закодированные значения. Редактирование никогда не превращается в обвинение. Каждая проверка, которая сравнивает одно наблюдаемое значение с другим — заголовок маршрутизации с телом, значение `Mcp-Param` с аргументом, который оно отражает, схему инструмента с тем, что требует от него ревизия, — знает, когда именно mcpsnoop был стороной, переписавшей байты, и остаётся молчаливой, а не сообщает о сервере из-за настройки конфиденциальности самого пользователя. Дрейф определения инструмента является исключением, и намеренно, поскольку включение редактирования меняет то, что записывается, а следовательно, и то, что содержит базовый уровень. См. [Обнаружение дрейфа определения инструмента](#detect-tool-definition-drift).```bash # built-in preset of common secret keys mcpsnoop --redact-secrets -- node build/index.js # or name your own keys mcpsnoop --redact-key token,api_key,password -- node build/index.js # scrub one location without redacting every field named password mcpsnoop --redact-path '$.params.arguments.password' -- node build/index.js # wildcards scrub every matching array element mcpsnoop --redact-path '$.params.arguments.accounts[*].password' -- node build/index.js # scrub obvious token-shaped values outside known keys mcpsnoop --redact-value 'sk-[A-Za-z0-9]+' -- node build/index.js # combine the layers in http mode mcpsnoop http --target http://localhost:3000/mcp --redact-secrets --redact-value 'Bearer\s+\S+'

Сигнал	Приводит к сбою при
`error`	вызове, на который получен ответ с ошибкой JSON-RPC, результате с пометкой `isError`, или задаче, завершившейся сбоем
`invalid`	кадре на канале протокола, который не является корректным JSON-RPC, обычно когда сервер пишет в stdout
`warn`	кадре, нарушающем ожидание, заданное спецификацией MCP или JSON-RPC
`mismatch`	заголовке маршрутизации, противоречащем телу, входящем в пакетную передачу, или отсутствующем там, где этого требует ревизия
`pending`	запросе, всё ещё открытом на момент завершения записи, из-за чего вызывающая сторона осталась в ожидании
`late-result`	ответе, пришедшем после отмены его запроса
`drift`	изменении объявленного определения инструмента после утверждения базовой версии
`deprecated`	функции, объявленной устаревшей спецификацией
`incomplete`	кадрах, отброшенных выше по потоку, из-за чего каждый остальной счётчик является нижней границей, а не итогом
`schema`	объявленной схеме, использующей конструкцию или диалект, которые плохо переносятся между клиентами

Флаг	Завершается ошибкой, когда
`--max-duration <dur>`	один или несколько завершённых вызовов инструментов превысили бюджет, с указанием их количества и худшего вызова
`--expect-tool <name>`	указанный инструмент ни разу не вызывался (повторяемый)
`--forbid-tool <name>`	указанный инструмент был вызван (повторяемый)

Правило	Сообщается как
клиент ОБЯЗАН отправить `Accept` со списком, содержащим как `application/json`, так и `text/event-stream`	`warn` на запросе
сервер, отвечающий на JSON-RPC-запрос, ОБЯЗАН вернуть `Content-Type: application/json` или `text/event-stream`	`warn` на ответе

Команда	Описание
`search`	Поиск инструментов в каталоге
`install`	Установка инструмента
`update`	Обновление инструмента
`remove`	Удаление инструмента
`list`	Список всех доступных инструментов
`info`	Показать подробную информацию об инструменте
`version`	Показать версию Kitploit
`help`	Показать справочную информацию

Параметр	Описание
`--category`	Фильтр по категории
`--tag`	Фильтр по тегу
`--verbose`	Подробный вывод
`--quiet`	Тихий режим (только ошибки)
`--json`	Вывод в формате JSON
`--no-color`	Отключить цветной вывод

Переменная	Описание
`KITPLOIT_CONFIG`	Путь к файлу конфигурации
`KITPLOIT_INSTALL_DIR`	Каталог установки инструментов
`KITPLOIT_DATA_DIR`	Каталог данных
`KITPLOIT_CACHE_DIR`	Каталог кэша
`KITPLOIT_API_URL`	Базовый URL API
`KITPLOIT_TIMEOUT`	Тайм-аут API в секундах
`KITPLOIT_RETRIES`	Количество повторных попыток API
`KITPLOIT_NO_COLOR`	Отключить цветной вывод (`true`/`false`)
`KITPLOIT_VERBOSE`	Включить подробный вывод (`true`/`false`)

Инструмент	Категория	Описание
Nmap	Network	Сканер сети и безопасности
Metasploit	Exploit	Фреймворк для эксплуатации уязвимостей
Burp Suite	Web	Платформа для тестирования безопасности веб-приложений
Wireshark	Network	Анализатор сетевых протоколов
John the Ripper	Password	Инструмент для взлома паролей
Aircrack-ng	Wireless	Набор инструментов для аудита беспроводных сетей
SQLMap	Web	Инструмент для автоматизации обнаружения и эксплуатации SQL-инъекций
Hydra	Password	Инструмент для подбора паролей
Nikto	Web	Сканер уязвимостей веб-серверов
Hashcat	Password	Инструмент для восстановления паролей

Метод	Конечная точка	Описание
`GET`	`/api/v1/tools`	Список всех инструментов
`GET`	`/api/v1/tools/{id}`	Получить информацию об инструменте
`GET`	`/api/v1/search`	Поиск инструментов
`GET`	`/api/v1/categories`	Список категорий
`GET`	`/api/v1/tags`	Список тегов

mcpsnoop

Популярное

Проблема

В CI

Файл конфигурации

Go```bash

Дополнения для оболочки

Как это работает

Экспорт сеансов

Редактирование

Сравнение сеансов

Утверждайте, что должно и не должно происходить

a contract for the run: search must run, delete must not, nothing over 2s

GitHub Action

Перехват маршрутизирующего заголовка, не совпадающего с телом запроса

Проверка обязательных транспортных заголовков, определённых спецификацией

Обнаружение расхождений в определениях инструментов

Установка

Требования

Установка из PyPI

Установка из исходного кода

Проверка установки

Помечать устаревшие функции протокола

Повтор вызова, захваченного по HTTP

Установка

Требования

Установка из PyPI

Установка из исходного кода

Проверка установки

Быстрый старт

Базовое использование

Поиск инструментов

Установка инструмента

Обновление инструмента

Удаление инструмента

Команды

Параметры

Примеры

Поиск инструментов по категории

Поиск инструментов по нескольким тегам

Просмотр подробной информации об инструменте

Вывод результатов в формате JSON

Установка нескольких инструментов одновременно

Конфигурация

Файл конфигурации

Пример конфигурации

Переменные окружения

Каталог инструментов

Категории

Популярные инструменты

API

Обзор

Аутентификация

Конечные точки

Пример запроса

Пример ответа

Устранение неполадок

Общие проблемы

Ошибка подключения к API

Ошибка установки инструмента

Проблемы с кэшем

Получение поддержки

Часто задаваемые вопросы

Что такое Kitploit?

Совместим ли Kitploit с моей операционной системой?

Как часто обновляется каталог?

Могу ли я внести свой вклад в Kitploit?

Лицензия

Благодарности

Связаться с нами

Найдите инструмент, который выходит из строя один раз из четырёх

Посмотреть, какие серверы здесь действительно запускались

Посмотрите, во что сервер вам обходится в контексте

a non-Linux or custom home, macOS is /Users/ and root is /root

an explicit MCPSNOOP_HOME on the remote

an explicit XDG_STATE_HOME on the remote

copy the remote logs into your local sessions directory

open the TUI, it backfills the copied sessions

Вклад