技术问询：如何通过Wireshark Lua API获取TCP头部信息？

问题 #

正在为基于TCP的应用编写协议解析器（将注册到DissectorTable.get("tcp.port")），查阅Wireshark API文档后，仍不清楚如何获取TCP头部的关键信息，包括：

• SYN/ACK标志位
• 序列号
• 确认序列号

解决方法 #

可以通过Wireshark Lua API中的Field.new()方法，直接引用Wireshark内置的TCP字段来获取这些信息。需要注意：Field对象必须在解析器的回调函数外部创建，不能在proto.dissector内部定义。

示例代码 #

local proto = Proto("myproto", "自定义协议")

-- 注意：Field对象只能在解析器、后解析器、启发式解析器和taps的回调函数**外部**创建
local F_tcp_seq_rel = Field.new('tcp.seq')      -- 相对序列号
local F_tcp_seq_raw = Field.new('tcp.seq_raw')  -- 原始序列号
-- 以下是获取其他TCP字段的示例
local F_tcp_syn = Field.new('tcp.flags.syn')    -- SYN标志位
local F_tcp_ack = Field.new('tcp.flags.ack')    -- ACK标志位
local F_tcp_ack_raw = Field.new('tcp.ack_raw')  -- 原始确认序列号

function proto.dissector(tvbuf, pinfo, tree)
    -- 在这里获取字段值，Field对象是可调用的
    local seq_rel = F_tcp_seq_rel()
    local seq_raw = F_tcp_seq_raw()
    local is_syn = F_tcp_syn()
    local is_ack = F_tcp_ack()
    local ack_raw = F_tcp_ack_raw()

    -- 可根据需要使用这些值进行逻辑处理
    -- 例如打印或添加到解析树中
    if is_syn then
        tree:add(proto, tvbuf(), "SYN标志位已设置")
    end
    tree:add(proto, tvbuf(), "原始序列号: " .. seq_raw.value)
end

-- 将自定义协议解析器注册到TCP端口12345
DissectorTable.get("tcp.port"):add(12345, proto)

内容的提问来源于stack exchange，提问作者pynexj