如何使用 Wireshark/tshark 剖析 UDP msgpack？

Question

从 v3.0.0 Wireshark 开始支持 msgpack。 我有一个捕获文件，其中包含封装在 UDP 中的 msgpack 消息，我想对其进行剖析。 问题是当我运行时：

tshark -r 1.pcap -d udp.port==60003,msgpack

我收到以下消息：

tshark: Protocol "msgpack" isn't valid for layer type "udp.port"
tshark: Valid protocols for layer type "udp.port" are:

支持的协议列表包含 msgpack：

tshark -G protocols | grep msgpack
Message Pack    MsgPack msgpack

这是示例捕获文件的链接： https : //drive.google.com/file/d/1qZO-WKgTValghMjC4kM56B-M1FlYg5C2/view?usp=sharing

Answer 1

在最新的 3.07 tshark 和 Wireshark 中无法解码为 msgpack（即这看起来像一个错误）。 如果你觉得有品德，你可以提交一份。

您仍然可以访问第 4 层之后的数据层。我们可以使用 shell magic 来做相当于使用您提供的文件解码该层：

# Unix-like (Macos/Linux/BSD) systems ship with xxd.
# WSL on Windows will also have it.
bash$ tshark -r msgpack.pcap -T fields -e data | xxd -p -r | msgpack2json && echo
{"message_type":"complete_caching","generation":123992}

在这里，我们

• 使用 tshark 将数据字段打印为 ASCII 十六进制
• 使用 xxd 将 text hex 转换为 bin hex
• 使用msgpack2json -tools 中的 msgpack2json将二进制数据转换回 JSON。