标签： Wireshark
版权声明：转载时请以超链接形式标明文章原始出处和作者信息及本声明
http://www.blogbus.com/shujiantang-logs/35855242.html
本文是Wireshark官方开发文档9.2节《添加一个基础的解析器》的翻译
下面我们将循序渐进地设计一个基础的解析器。首先我们来虚构一个简单的网络协议“foo”。它依次包含如下构成要素：
- 包类型字段（占用8比特位，可能的值为：1，初始；2，终结；3，数据）；
- 标志集字段（占用8比特位：0x01，开始包；0x02，结束包；0x04，优先包）；
- 序列号字段（占用16比特位）；
- IP地址字段（占用32比特位）。
9.2.1 创建解析器
首先您需要选择解析器的类型：内置型（包含在主程序中）或插件型。
对于初学者来说插件是容易编写的，所以我们还是先做一个插件型解析器吧。
❤温馨提示，解析器由插件型转为内置型是件轻松的事情——所以我们不会因此而失去什么。
例 9.1. 解析器初始设定
#ifdef HAVE_CONFIG_H
#include "config.h"
#endif
#include <epan/packet.h>
#include <epan/prefs.h>
/* forward reference */
void proto_register_foo();
void proto_reg_handoff_foo();
static void dissect_foo(tvbuff_t *tvb,packet_info *pinfo,proto_tree *tree);
static int proto_foo=-1;
static int global_foo_port=1234;
static dissector_handle_t foo_handle;
void proto_register_foo(void)
{
if(proto_foo==-1)
{
proto_foo=proto_register_protocol(
"FOO Protocol", /* name */
"FOO", /* short name */
"foo" /* abbrev */
);
}
}
现在来逐一分析这段代码。
首先我们有一些常规的包含文件，最好依惯例在文件开始包含进来。随后是一些函数的前置声明，我们稍后定义它们。
接下来我们定义了一个整型变量
proto_foo用于记录我们的协议注册信息。它被初始化为-1，当解析器注册到主程序中后，其值便会得到更新。这样做可保证我们方便地判断是否已经做了初始工作。将所有不打算对外输出的全局变量和函数声明为static是一个良好的习惯，因为这可以保证命名空间不被污染。通常这是容易做到的，除非您的解析器非常庞大以致跨越多个文件。之后的模块变量
global_foo_port则包含了协议使用的UDP端口号，我们会对通过该端口的数据流进行解析，当然这只是一个假设。紧随其后的是解析器句柄
foo_handle，我们稍后对它进行初始化。至此我们已经拥有了和主程序交互的基本元素，接下来最好再把那些预声明的函数定义一下，就从注册函数
proto_register_foo开始吧。
首先调用函数proto_register_protocol注册协议。我们能够给协议起3个名字以适用不同的地方。全名和短名用在诸如“首选项（Preferences）”和“已激活协议（Enabled protocols）”对话框以及记录中已生成的域名列表内。缩略名则用于过滤器。
下面我们需要一个切换函数。
例 9.2. 解析器切换
void proto_reg_handoff_foo(void)
{
static gboolean initialized=FALSE;
if(!initialized)
{
foo_handle=create_dissector_handle(dissect_foo,proto_foo);
dissector_add("udp.port",global_foo_port,foo_handle);
initialized=TRUE;
}
}
这段代码做了什么呢？初始化解析器（如果它尚未初始化）。首先创建解析器句柄，它关联了foo协议和用于完成实际解析工作的函数dissect_foo。之后将该解析器与UDP端口号相关联，以使主程序收到该端口的UDP数据流时通知该解析器。
至此我们终于可以写一些解析代码了。不过目前我们仅写点儿基本功能占个位置。
例 9.3. 解析.
static void dissect_foo(tvbuff_t *tvb,packet_info *pinfo,proto_tree *tree)
{
if(check_col(pinfo->cinfo,COL_PROTOCOL))
{
col_set_str(pinfo->cinfo,COL_PROTOCOL,"FOO");
}
/* Clear out stuff in the info column */
if(check_col(pinfo->cinfo,COL_INFO))
{
col_clear(pinfo->cinfo,COL_INFO);
}
}
该函数用于解析传递给它的数据包。
包数据由
tvb参数指向的特殊缓冲区保管。现在我们已深入到协议的细节，对它们您肯定是了若指掌。包信息结构参数
pinfo包含了协议的基本数据，以供我们更新。参数
tree则指明了详细解析发生的地方。这里我们仅做了保证通过的少量工作。前两行检查UI中“协议（Protocol）”列是否已显示。如果该列已存在，就在这儿显示我们的协议名称。这样人们就知道它被识别出来了。另外，如果“信息（INFO）”列已显示，我们就将它的内容清除。
至此我们已经准备好一个可以编译和安装的基本解析器。不过它目前只能识别和标示协议。
为了编译解析器并创建插件，还需要在解析器代码文件“packet-foo.c”所在目录下创建一些提供支持的文件:
- Makefile.am - UNIX/Linux的makefile模板
- Makefile.common – 包含了插件文件的名称
- Makefile.nmake – 包含了针对Windows平台的Wireshark插件makefile
- moduleinfo.h – 包含了插件版本信息
- moduleinfo.nmake – 包含了针对Windows平台的DLL版本信息
- packet-foo.c – 这是您的解析器原代码文件
- plugin.rc.in – 包含了针对Windows平台的DLL资源模板
在“agentx”插件的目录下（“plugins\agentx”目录下）,您能够找到关于这些文件的一个好的例子。“Makefile.common”和“Makefile.am”文件中涉及到相关文件和解析器名称的地方一定要修改正确。“moduldeinfo.h”和“moduleinfo.nmake”文件中的版本信息也需要正确填充。一切准备妥善后就可以将解析器编译为DLL或共享库文件了（使用nmake工具）。将编译的结果拷贝到Wireshark安装目录中的“plugin”文件夹下，它就可以正常工作了。
