手把手教你编译wireshark3.1的c语言插件（windows平台2019-3-20）
资料来源：
https://www.wireshark.org/docs/wsdg_html_chunked/ChSetupWin32.html （官方教程）
http://eucifyy.com/wireshark-dissector-mwe.html （python代码）
简介
wireshark是一个著名的网络嗅探软件，前阵子央视著名的315晚会也有一个教授使用wireshark向我们展示某些不法app非法获取用户隐私的过程。在wireshark中用户可以自行编写插件来做自定义的协议的解析器。有两种途径，一种是c插件的方式，在windows平台下，体现为一个动态链接库.dll文件，放在wireshark插件目录下，这个c插件的优点是速度快，但缺点也很明显，编译工程量大，兼容性差，你这个版本下编译的插件，到另一个版本的wireshark下就完全不能用了。还有一个是lua脚本的方式，这个十分方便，兼容性也好，制作也简单，网上教程也一大堆，但不知道为什么，wireshark官方并不推荐这个。总之，我们还是按照wireshark官方的教程来编译c插件吧。
步骤一、编译一次wireshark源码
这个步骤十分繁琐，但好在官方写的十分详细：https://www.wireshark.org/docs/wsdg_html_chunked/ChSetupWin32.html。按照官方说好的编译完一遍。这样你就安装好了环境，同时编译出了不少目标文件，这些目标文件待会编译插件的时候要用。
步骤二、编译c插件
1.创建源文件
按照这个https://www.wireshark.org/docs/wsdg_html_chunked/ChDissectAdd.html
创建wireshark\plugins\epan\foo目录，并在里面写出packet-foo.c文件（这个foo是你的插件名）
#include "config.h"
#include <epan/packet.h>
#define FOO_PORT 1234
static int proto_foo = -1;
static int dissect_foo(tvbuff_t *tvb, packet_info *pinfo, proto_tree *tree _U_, void *data _U_)
{
col_set_str(pinfo->cinfo, COL_PROTOCOL, "FOO");
/* Clear out stuff in the info column */
col_clear(pinfo->cinfo,COL_INFO);
return tvb_captured_length(tvb);
}
void proto_register_foo(void)
{
proto_foo = proto_register_protocol (
"FOO Protocol", /* name */
"FOO", /* short name */
"foo" /* abbrev */
);
}
void proto_reg_handoff_foo(void)
{
static dissector_handle_t foo_handle;
foo_handle = create_dissector_handle(dissect_foo, proto_foo);
dissector_add_uint("udp.port", FOO_PORT, foo_handle);
}
2.复制其他插件文件作为模板
之后将wireshark\plugins目录下的plugin.rc.in文件复制进foo目录，以及wireshark\plugins\epan\gryphon目录下的CMakeLists.txt也复制进foo目录。
3.修改插件信息
使用记事本打开CMakeLists.txt，将里面的“gryphon”文本都替换为foo。
4.修改自制插件配置
进入wireshark目录，把里面的“CMakeListsCustom.txt.example”重命名为“CMakeListsCustom.txt”，打开CMakeListsCustom.txt，去掉里面的某个"#"，使得"set(CUSTOM_PLUGIN_SRC_DIR plugins/epan/foo)"这样一个语句完整，这里的plugins/epan/foo就是你的插件的目录。
set(CUSTOM_PLUGIN_SRC_DIR
plugins/epan/foo
)
# Do not fail CMake stage if any of the optional plugins are missing from source tree
set(_OPTIONAL_CUSTOM_PLUGIN_SRC_DIR
plugins/epan/bar
)
foreach( _plugin_dir ${_OPTIONAL_CUSTOM_PLUGIN_SRC_DIR} )
if( EXISTS ${CMAKE_CURRENT_SOURCE_DIR}/${_plugin_dir}/CMakeLists.txt )
list( APPEND CUSTOM_PLUGIN_SRC_DIR ${_plugin_dir} )
else()
message( WARNING "Custom plugins: No ${_plugin_dir}/CMakeLists.txt file found - ignoring" )
endif()
endforeach()
步骤四、重新编译wireshark源码
这次的重新编译，比初次编译要快不少，原因就是初次编译以及生成了足够了目标文件，这次编译只要编译你这个插件就行了。
编译完后你会在你的build目录下run\RelWithDebInfo\plugins\3.1\epan里看到foo.dll，这样就算编译成功了。
步骤五、启动wireshark并测试
启动run\RelWithDebInfo下的wireshark.exe,使用python写一个基于foo协议的程序并测试，脚本如下：
# server.py
from socket import *
serverSocket = socket(AF_INET, SOCK_DGRAM) # UDP
serverSocket.bind(('', 1234))
while True:
message, address = serverSocket.recvfrom(1024) # buffer size
serverSocket.sendto('thanks', address)
# client.py
import time
from socket import *
clientSocket = socket(AF_INET, SOCK_DGRAM)
clientSocket.settimeout(1)
message = 'test'
addr = ('127.0.0.1', 1234)
start = time.time()
clientSocket.sendto(message, addr)
try:
data, server = clientSocket.recvfrom(1234)
end = time.time()
elapsed = end - start
print '%s %d' % (data, elapsed)
except timeout:
print 'REQUEST TIMED OUT'
注意以上脚本必须用python2来运行，如果你已经安装了python3，你可以再安装一个python2并在bin目录里面添加如下内容的python2.bat：
@echo off
%~dp0/python.exe %*
将bin目录添加到环境变量path即可通过python2命令执行python2。
还需要注意的是，按照默认配置编译的wireshark并不支持监听127.0.0.1这种本机回环地址。你需要安装一个Npcap loopback adapter(https://nmap.org/download.html)
来使得wireshark能够监听该地址。
分别打开两个终端执行如下命令
>python2 server.py
>python2 client.py
如果以上命令成功，你的client窗口会收到一个thanks的返回结果，你可以通过过滤器设置udp.port==1234来获得类似如下嗅探结果（为了测试，我没有采用本机回环地址，而是将server在另一台机子上执行）：
这样，一个wireshark的c语言插件就初步编好了，需要更加详细的协议解析器（dissector）编程方法，可以去看官方的技术文档：https://www.wireshark.org/docs/wsdg_html_chunked/ChDissectAdd.html
