wireshark lua脚本

Posted 2020-08-22 fe风

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了wireshark lua脚本相关的知识，希望对你有一定的参考价值。

1、目的：解析rssp2协议

2、如何使用wireshark lua插件

　　将编写的(假设为rssp2.lua）lua文本，放入wireshark 安装目录下，放哪里都行只要dofile添加了路径.

并且在安装目录下找到init.lua，最后一行添加路径代码 :

dofile(DATA_DIR.."RSSP2.lua")

3、介绍

　　解析由rssp2.lua、p2_data.lua、p2_parse.lua3个文件组成。如果协议内容很少，一个lua文件就能完全解决.init.lua会调用rssp.lua，rssp2.lua会加载p2_data.lua、p2_parse.lua文件.解析器dissectors介绍可以参照官网：https://wiki.wireshark.org/Lua/Dissectors

必须注册为句柄

解析函数必须设置为 Proto对象

call wireshark时可通过 TVB buffer(TVB object) ORZ a packet information record(pinfo object:) ORZ a tree root(TreeItem object)

只有当包与解析表匹配，或者用户强制“decode as”，才能解析

4、dofile、require用法

http://blog.csdn.net/leecrest/article/details/31742419讲得比较透彻

加载一个lua文件时require会先在package.load中查找此模块是否存在，如果存在，直接返回模块。如果不存在加载此模块文件。

　　@require仅加载一次，对于模块会按照特定的搜索规则查找文件加载。在rssp2.lua先添加路径：

package.path = "D:/professional program/WireShark/plugins/?.lua;;"

　　require("data") 那么加载路径

　　D:/professional program/WireShark/plugins/data/lua

dofile和loadfile区别；dofile：读入代码文件并编译执行。每调用一次dofile都会重新编译执行一次。loadfile：编译代码，将整个模块文件当成一个函数返回，但是不执行代码。dofile是对loadfile的一次包装。dofile使用：

   　　dofile("D:/professionalprogram/WireShark/plugins/data.lua")

如果不太懂可以参考http://www.runoob.com/lua/lua-modules-packages.html中的lua模块与包的例子.

5、wireshark 库函数

     https://www.wireshark.org/docs/wsdg_html_chunked/wsluarm_modules.html

package.path = "D:/professional program/WireShark/plugins/?.lua;;"

          添加路径package.path

require("p2_data")

          这里面是要用到的全部解析全局变量，函数没有放里面

func = dofile("D:/professional program/WireShark/plugins/p2_parse.lua")

         func返回了rssp2.lua需要调用的所有函数

self_rssp2 = Proto ("RSSP2","RSSP2_Protocol")

          注册协议，函数Proto

f_usALELen = ProtoField.uint16("rssp2.len", "Length", base.DEC)

ProtoField.uint16解析2字节的f_usALELen字段，Length在wireshark中显示名称，base.DE 十进制显示

f_usRole = ProtoField.uint8("rssp2.Role", "Role", base.HEX, { [0x10] = "Client", [0x11] = "Server"})

          还可以是这样的，不仅显示值 [0x10] = "Client"，还显示含义.

self_rssp2.fields = {f_usALELen, f_usALEVer, f_usAPPType, f_usSequen, f_usNRFlag}

          最终将所有需要解析的字段添加到field中，如果只是定义了这个字段，而不添加到这里是解析不了的.

function self_rssp2.dissector(buffer,pinfo,tree)

可以把函数dissector理解为我们编写脚本的主函数，入口函数。形参是数据帧buffer，消息pinfo和 wireshark上层已经解析的tree

pinfo.cols.protocol:set("RSSP-II")

         在wireshark protocol列显示“RSSP-II”协议字符串

         同理pinfo.cols.info:set("Invalid Msg")

         在info中显示"Invalid Msg"

local RSSP2Tree = tree:add(self_rssp2, buffer(offset, buffer_len), "RSSP-II Msg Structure")

添加自己的tree，"RSSP-II Msg Structure"，然后就可以解析在这个tree下面的字段

RSSP2Tree 下面又有ALE_tree.

local ALE_tree = RSSP2Tree:add(self_rssp2,buffer(offset, 10),"ALE Layer")

local usMsgLen = buffer(offset,2):le_uint()

offset是自己定义的局部变量，帧的偏移量，表示解析到offset字节数了.offset后面两个字节转化成无符号 32进制赋值给变量usMsgLen

ALE_tree:add(f_usALELen, buffer(offset,2))

ALE_tree下面解析f_usALELen字段，该字段在帧的offset位置起始的后面两个字节

local tcp_port_table = DissectorTable.get("tcp.port")

将该解析函数添加到tcp_port_table ，这一步是必须的

tcp_port_table:add(60005, self_rssp2)

该帧是通过60005端口采集，这个打开wireshark满足帧条件，就能自动解析.

实在不懂，可以到github中搜关键字“wireshark lua”，有很多人的lua代码

6、注意

　　@不同于其他语言的数组把0作为数组的初始索引，Lua里表的默认初始索引一般从1开始

　　@在Lua中0为true

　　@~= 不等于

7、wireshark中tcp帧格式

　　# wireshark 数据解析格式#

　　http://note.youdao.com/noteshare?id=b2c354990472154833321e1d7b316df1

　　0000   70 ba ef 56 e7 cb dc 49 c9 01 01 96 08 00| 45 00

　　0010   00 28 bf 8f 00 00 40 06 a0 d8 0a 41 01 18 0a 02

　　0020   05 0e| ea 65 40 19 ca b2 10

　　0030   c3 ae 00 00 00 00 00 00

　　分隔符| 分隔数据链路层网络层传输层