【wireshark】插件开发（三）：Lua插件 Dissector

// TODO: 部分内容需要修改

1. 骨架

首先新建一个文件，命名为foo.lua，注意此文件的编码方式不能是带BOM的UTF8，否则wireshark加载它时会出错（不识别BOM）：

-- @brief Foo Protocol dissector plugin
-- @author zzq
-- @date 2015.08.12

-- create a new dissector
local NAME = "foo"
local PORT =
local foo = Proto(NAME, "Foo Protocol")

-- dissect packet
function foo.dissector (tvb, pinfo, tree)
end

-- register this dissector
DissectorTable.get("udp.port"):add(PORT, foo)

这是一个lua解析器的骨架：创建解析器对象、解析器函数、将解析器注册到wireshark解析表。

写完之后，将foo.lua拷贝到plugins/<版本号>目录即可，然后用文件打开之前抓的foo协议的Pcap文件foo.pcap。

是的，wireshark没有提示错误，然而什么变化也没有：当然，因为我们没有编写实际的解析代码。

依次打开”Internals”、”Dissector tables“菜单，选中”Interger tables”标签页，下拉滚动条，找到“UDP port“树节点，展开，再往下来，会发现FOO协议赫然在列，证明foo插件确实被正确加载了：

2. 完善

下面需要写一些具体的代码，首先是定义foo协议的各个字段：

-- create fields of foo
local fields = foo.fields
fields.type = ProtoField.uint8 (NAME .. ".type", "Type")
fields.flags = ProtoField.uint8 (NAME .. ".flags", "Flags")
fields.seqno = ProtoField.uint16(NAME .. ".seqno", "Seq No.")
fields.ipaddr = ProtoField.ipv4(NAME .. ".ipaddr", "IPv4 Address")

根据foo协议字段类型的不同，分别调用ProtoField的不同方法创建它们，其中第一个参数是字段的缩写，第2个参数是字段的全名，另外还有一些可选参数表示进制，掩码之类，这里略去。

然后编写具体的解析函数：

-- dissect packet
function foo.dissector (tvb, pinfo, tree)
    local subtree = tree:add(foo, tvb())
    local offset = 

    -- show protocol name in protocol column
    pinfo.cols.protocol = foo.name

    -- dissect field one by one, and add to protocol tree
    local type = tvb(offset, )
    subtree:add(fields.type, type)
    subtree:append_text(", type: " .. type:uint())
    offset = offset + 

    subtree:add(fields.flags, tvb(offset, ))
    offset = offset +
    subtree:add(fields.seqno, tvb(offset, ))
    offset = offset +
    subtree:add(fields.ipaddr, tvb(offset, ))
end

wireshark约定解析器函数接口有3个参数，第一个是报文数据buffer tvb，第2个是报文信息结构pinfo，第3个是协议解析树tree。

subtree = tree:add(foo, tvb())为foo协议往协议解析树上添加了一个新节点subtree；

pinfo.cols.protocol = foo.name把wireshark报文列表上的”Protocol“列的文本置为foo协议名称”Foo”;

接下来，根据Foo协议的规范依次解析各字段，并把它们的信息加入到协议解析树。

编写完成后把新的foo.lua拷贝到插件目录，重启wireshark打开foo.pcap，显示效果如下：

也可以对foo协议应用显示过滤器：