如何在Wireshark Lua dissector中添加可索引过滤的ProtoField数组

问题背景 #

自定义协议格式如下：

V_SPEED (uint16)
N_ITERATION (uint16)
SEG_LEN[N_ITERATION] (每个元素为uint16，共N_ITERATION个)

已完成V_SPEED和N_ITERATION字段的解析与过滤，但SEG_LEN数组无法实现按索引（如SEG_LEN[1] == XYZ）过滤的需求。尝试预定义255个独立seg_len_N字段时，Wireshark报NIL值错误，且方案扩展性极差；使用单个seg_len字段则无法通过索引过滤。

正确实现方案 #

核心是利用Wireshark对数组型ProtoField的原生支持，通过解析函数中指定索引参数实现按位置过滤。

1. 定义数组型ProtoField #

无需预定义多个字段，仅需声明一个数组类型的seg_len字段：

myproto = Proto("MyProto", "My Protocol")

-- 基础字段
myproto.fields.v_speed = ProtoField.uint16("myproto.v_speed", "v_speed", base.DEC)
myproto.fields.n_iteration = ProtoField.uint16("myproto.n_iteration", "n_iteration", base.DEC)

-- 数组型SEG_LEN字段，Wireshark会自动识别为可索引的数组
myproto.fields.seg_len = ProtoField.uint16("myproto.seg_len", "seg_len", base.DEC)

2. 解析函数中添加带索引的字段 #

在dissector函数遍历SEG_LEN时，通过tree:add()的第五个参数传入索引值，让Wireshark识别每个元素的位置：

function myproto.dissector(buffer, pinfo, tree)
    pinfo.cols.protocol = "MyProto"
    local subtree = tree:add(myproto, buffer())

    -- 解析V_SPEED（前2字节）
    local v_speed_buf = buffer(0, 2)
    subtree:add(myproto.fields.v_speed, v_speed_buf)
    local offset = 2

    -- 解析N_ITERATION（接下来2字节）
    local n_iter_buf = buffer(offset, 2)
    local n_iter_val = n_iter_buf:uint()
    subtree:add(myproto.fields.n_iteration, n_iter_buf)
    offset = offset + 2

    -- 解析SEG_LEN数组，传入索引参数
    for i = 1, n_iter_val do
        local seg_len_buf = buffer(offset, 2)
        -- 第5个参数i为索引值，显示文本自定义为seg_len[i]增强可读性
        subtree:add(myproto.fields.seg_len, seg_len_buf, seg_len_buf:uint(), string.format("seg_len[%d] = %d", i, seg_len_buf:uint()), i)
        offset = offset + 2
    end
end

-- 注册解析器（示例为UDP端口12345，可根据实际协议修改）
local udp_table = DissectorTable.get("udp.port")
udp_table:add(12345, myproto)

3. 过滤规则示例 #

现在可直接通过索引过滤数组元素：

• 过滤第一个SEG_LEN等于100：myproto.seg_len[1] == 100
• 过滤任意SEG_LEN等于200：myproto.seg_len == 200
• 过滤第二个SEG_LEN大于50：myproto.seg_len[2] > 50

关键说明 #

• Wireshark原生支持数组型字段的索引过滤，只需在add()方法中传入索引参数（从1开始计数）
• 预定义大量独立字段的方案不可行，因为Wireshark加载时会校验所有ProtoField，未被使用的字段会触发NIL错误
• 自定义显示文本可让数据包详情中的数组元素更直观，便于调试

内容的提问来源于stack exchange，提问作者laultimapregunta