為Wireshark編寫插件解剖器

Question

我必須編寫一個wireshark Dissector作為協議的插件。 我有一個捕獲的文件，其中輸入的十六進制字節代碼將通過我的Dissector / plugin進行解析。

怎么做 ？
我已經建立了一個基本的wireshark插件

https://www.wireshark.org/docs/wsdg_html_chunked/ChDissectAdd.html

和doc / README.plugins

所以我知道構建Wireshark插件（自定義擴展名）的基本步驟。 但是我不知道將文件放在何處進行分析，並且不知道要在我的packet-dissector.c中寫入什么功能？
有什么建議么 ？
謝謝。

Answer 1

有一個第三方插件Wireshark Generic Dissector ，您可以在不編寫任何代碼的情況下剖析協議。 該插件的二進制版本可用於Windows和至少某些Linux發行版； 源代碼可用，因此您可以將其編譯為其他平台。 您可能想看看是否會使它更容易。

Answer 2

epan樹中有很多packet-xxx.c文件。 根據基本協議（UDP / TCP / other），選擇協議解析器之一，然后查看用於解析協議的內容。 對於您的解剖器，這應該是一個很好的模板。

此外，您應該考慮一個解剖器，它可以顯示很多細節，流程分析，協議違規指示等，非常復雜 。 真正需要什么取決於對解剖器的期望，通常無法回答。

Answer 3

如果它是作為插件創建的，請在plugins文件夾中為協議添加一個新目錄。 在此目錄中添加所需的文件（makefile.am，cmakefile.txt等和您的.c）。 更改makefile以為新解剖器編譯並創建dll。 查找gryphon插件示例，並對解剖器進行類似的更改。

這應該在運行目錄中創建“ yourproto.dll”，這意味着wireshark已准備好識別您的協議。