Wireshark Lua dissector技术疑问：如何获取解析前的未解析数据

核心思路 #

Wireshark Lua解析器的核心处理对象是tvb（Test Virtual Buffer），不管标识在未解析数据的哪个位置，都可以通过tvb的范围提取方法直接获取。以下是具体步骤和示例：

1. 确定标识的位置与提取 #

首先明确标识在数据包未解析段的偏移量和长度，然后通过tvb:range(offset, length)定位并提取：

• 如果是固定位置的数值型标识（比如32位ID）：

  -- 假设标识在未解析数据起始位置（偏移0），长度4字节
  local id_range = tvb:range(0, 4)
  local unique_id = id_range:uint() -- 提取为无符号整数
  

• 如果是字符串型标识：

  -- 假设标识是偏移2开始的6字节ASCII字符串
  local id_str = tvb:range(2, 6):string()
  

2. 处理动态偏移的标识 #

如果标识前有可变长度字段，需先解析前置字段计算偏移：

-- 先解析前置的2字节长度字段
local payload_len = tvb:range(0, 2):uint()
-- 标识偏移为2（长度字段长度） + payload_len
local id_offset = 2 + payload_len
local unique_id = tvb:range(id_offset, 4):uint()

3. 用标识关联会话（可选） #

如果需要通过该标识跟踪同一会话的数据包，可将其绑定到pinfo（Packet Info）的会话属性：

-- 将ID转为字符串存入会话，后续同ID数据包可通过pinfo.conversation获取
pinfo.conversation = tostring(unique_id)
-- 也可以自定义pinfo的私有字段
pinfo.private["myproto_id"] = unique_id

4. 完整解析器示例 #

以下是包含标识提取、会话绑定的完整协议解析器代码：

local my_proto = Proto("myproto", "自定义协议")

-- 定义协议字段
local f_unique_id = ProtoField.uint32("myproto.id", "唯一标识", base.HEX)
local f_payload = ProtoField.string("myproto.payload", "负载数据")

my_proto.fields = {f_unique_id, f_payload}

function my_proto.dissector(tvb, pinfo, tree)
    -- 先检查tvb长度是否足够，避免越界报错
    if tvb:len() < 4 then return end

    pinfo.cols.protocol = my_proto.name

    -- 提取唯一标识
    local id_range = tvb:range(0, 4)
    local unique_id = id_range:uint()

    -- 构建协议树
    local subtree = tree:add(my_proto, tvb(), string.format("自定义协议 (ID: 0x%X)", unique_id))
    subtree:add(f_unique_id, id_range)

    -- 绑定会话标识
    pinfo.conversation = tostring(unique_id)

    -- 解析后续负载数据
    if tvb:len() > 4 then
        local payload_range = tvb:range(4)
        subtree:add(f_payload, payload_range)
    end
end

-- 注册到UDP端口（示例端口12345）
local udp_dissectors = DissectorTable.get("udp.port")
udp_dissectors:add(12345, my_proto)

5. 启发式解析（无固定端口/IP时） #

如果你的协议没有固定端口或IP，可通过启发式解析先检查标识特征，再触发解析：

function my_proto.heuristic(tvb, pinfo, tree)
    -- 检查数据包前4字节是否为协议特征标识（比如0xCAFEBABE）
    if tvb:len() >=4 and tvb:range(0,4):uint() == 0xCAFEBABE then
        my_proto.dissector(tvb, pinfo, tree)
        return true -- 告知Wireshark已解析该包
    end
    return false
end

-- 注册启发式解析到UDP协议
local udp_heur = DissectorTable.get("udp.heuristic")
udp_heur:add(my_proto)

内容的提问来源于stack exchange，提问作者Sam Spencer