能力可以定制一些Listner和Dissector用于一些自定义的使用场景例如:

lua插件适应场景Listener报文统计、内容抽取等Dissector协议树解析在wireshark中立等可看

已在以前的文档中积累了对于Listener的使用见Listener。

想多说点

这次尝试源于一次对于接口文档的阅读想避免在后期又一次地翻阅文档重新查看协议说明和字段描述。

那么利用Wireshark

组件说明Proto定义协议包括字段和解析器函数定义在解析树中体现为一个节点ProtoField定义协议字段类型Dissector

Chain解析器链某个解析器完成自身协议层解析后可以在尾部继续调用其它解析器完成整个报文解析

Tvb参数组件特殊说明

参数说明offset必须注意从零开始length可选如果不指定将获取整个tvb长度

buf(offset[,

API说明buf(…):tvb()调用其它解析器需要重新生成新的tvb作为参数buf(…):uint*()获取数值例如uint*类型系列

启用扩展

将扩展lua脚本文件放入Wireshark安装的init.lua中增加相应导入脚本

dofile(DATA_DIR..example.lua)讲解官网解析器例子

分析器根协议

第二个参数为协议描述默认用于协议解析树的节点Label要求全局唯一local

p_multi

协议字段值解析映射对于枚举类型非常适合将码值解析为更易懂的文本

对于没有定义映射将显示为Unknown

协议字段类型声明常用的字段类型为uint*系列以及stirng、bytes等类型

---

第一个参数将用于过滤条件最好以根协议的缩写命名开头但具有唯一性即可

---

第二个参数为字段描述在协议解析树中作为节点名字在协议内要求描述唯一

p_multi_priority.fields.priority_value

ProtoField.uint8(multi.flags.priority,

Priority

p_multi_priority.fields.prefix_flag

ProtoField.uint8(multi.flags.prefix,

Prefix

p_multi_priority.fields.suffix_flag

ProtoField.uint8(multi.flags.suffix,

Suffix

第二个参数为wireshar解析行描述对象可以操作修改行描述信息

---

第三个参数为wireshar当前解析树可以继续增加新的子树和链接其它协议器

function

p_multi_priority.dissector(buf,

pkt,

选中时Wireshark会高亮的节点对应的码流区域其它add操作亦然--

具体此协议解析一个字节长度local

1):uint()subtree:add(p_multi_priority.fields.priority_value,

buf(0,

0xF))subtree:add(p_multi_priority.fields.prefix_flag,

buf(0,

4))subtree:add(p_multi_priority.fields.suffix_flag,

buf(0,

ProtoField.uint8(multi.protocol,

Protocol,

ProtoField.uint8(multi.direction,

Direction,

DissectorTable.get(sctp.ppi):get_dissector(3),

m3ua[11]

DissectorTable.get(ip.proto):get_dissector(132),

sctp

修改报文行的协议为已识别的协议pkt.cols.protocol:set(p_multi.name)--

local

可以按照字节序小端来获取报文中的数据subtree:add(p_multi.fields.proto,

buf(offset,

1subtree:add(p_multi.fields.dir,

buf(offset,

注意第三个参数为自身子树节点p_multi_priority.dissector(buf(offset,

1):tvb(),

链接其它可以识别的解析器dissector:call(buf(offset):tvb(),

pkt,

特殊分支在自身解析层完成注意树节点为自身树subtree:add(p_multi.fields.raw,

buf(offset))else--

作为默认链接裸数据解析器data_dis:call(buf(offset):tvb(),

pkt,