[关闭]
@natsumi 2015-02-25T13:13:26.000000Z 字数 2907 阅读 1509

【转】【翻译】Wireshark:添加一个基础的解析器(1)

Wireshark


版权声明:转载时请以超链接形式标明文章原始出处和作者信息及本声明
http://www.blogbus.com/shujiantang-logs/35855242.html
本文是Wireshark官方开发文档9.2节《添加一个基础的解析器》的翻译

下面我们将循序渐进地设计一个基础的解析器。首先我们来虚构一个简单的网络协议“foo”。它依次包含如下构成要素:

  • 包类型字段(占用8比特位,可能的值为:1,初始;2,终结;3,数据);
  • 标志集字段(占用8比特位:0x01,开始包;0x02,结束包;0x04,优先包);
  • 序列号字段(占用16比特位);
  • IP地址字段(占用32比特位)。

9.2.1 创建解析器

首先您需要选择解析器的类型:内置型(包含在主程序中)或插件型。
对于初学者来说插件是容易编写的,所以我们还是先做一个插件型解析器吧。
❤温馨提示,解析器由插件型转为内置型是件轻松的事情——所以我们不会因此而失去什么。

例 9.1. 解析器初始设定

  1. #ifdef HAVE_CONFIG_H
  2. #include "config.h"
  3. #endif
  4. #include <epan/packet.h>
  5. #include <epan/prefs.h>
  6. /* forward reference */
  7. void proto_register_foo();
  8. void proto_reg_handoff_foo();
  9. static void dissect_foo(tvbuff_t *tvb,packet_info *pinfo,proto_tree *tree);
  10. static int proto_foo=-1;
  11. static int global_foo_port=1234;
  12. static dissector_handle_t foo_handle;
  13. void proto_register_foo(void)
  14. {
  15. if(proto_foo==-1)
  16. {
  17. proto_foo=proto_register_protocol(
  18. "FOO Protocol", /* name */
  19. "FOO", /* short name */
  20. "foo" /* abbrev */
  21. );
  22. }
  23. }

现在来逐一分析这段代码。

下面我们需要一个切换函数。
例 9.2. 解析器切换

  1. void proto_reg_handoff_foo(void)
  2. {
  3. static gboolean initialized=FALSE;
  4. if(!initialized)
  5. {
  6. foo_handle=create_dissector_handle(dissect_foo,proto_foo);
  7. dissector_add("udp.port",global_foo_port,foo_handle);
  8. initialized=TRUE;
  9. }
  10. }

这段代码做了什么呢?初始化解析器(如果它尚未初始化)。首先创建解析器句柄,它关联了foo协议和用于完成实际解析工作的函数dissect_foo。之后将该解析器与UDP端口号相关联,以使主程序收到该端口的UDP数据流时通知该解析器。

至此我们终于可以写一些解析代码了。不过目前我们仅写点儿基本功能占个位置。
例 9.3. 解析.

  1. static void dissect_foo(tvbuff_t *tvb,packet_info *pinfo,proto_tree *tree)
  2. {
  3. if(check_col(pinfo->cinfo,COL_PROTOCOL))
  4. {
  5. col_set_str(pinfo->cinfo,COL_PROTOCOL,"FOO");
  6. }
  7. /* Clear out stuff in the info column */
  8. if(check_col(pinfo->cinfo,COL_INFO))
  9. {
  10. col_clear(pinfo->cinfo,COL_INFO);
  11. }
  12. }

至此我们已经准备好一个可以编译和安装的基本解析器。不过它目前只能识别和标示协议。

为了编译解析器并创建插件,还需要在解析器代码文件“packet-foo.c”所在目录下创建一些提供支持的文件:

  • Makefile.am - UNIX/Linux的makefile模板
  • Makefile.common – 包含了插件文件的名称
  • Makefile.nmake – 包含了针对Windows平台的Wireshark插件makefile
  • moduleinfo.h – 包含了插件版本信息
  • moduleinfo.nmake – 包含了针对Windows平台的DLL版本信息
  • packet-foo.c – 这是您的解析器原代码文件
  • plugin.rc.in – 包含了针对Windows平台的DLL资源模板

在“agentx”插件的目录下(“plugins\agentx”目录下),您能够找到关于这些文件的一个好的例子。“Makefile.common”和“Makefile.am”文件中涉及到相关文件和解析器名称的地方一定要修改正确。“moduldeinfo.h”和“moduleinfo.nmake”文件中的版本信息也需要正确填充。一切准备妥善后就可以将解析器编译为DLL或共享库文件了(使用nmake工具)。将编译的结果拷贝到Wireshark安装目录中的“plugin”文件夹下,它就可以正常工作了。

添加新批注
在作者公开此批注前,只有你和作者可见。
回复批注