如何仅用tshark输出Lua脚本解析的协议数据？

核心排查点 #

• 协议注册名匹配问题
  检查Lua脚本中proto_register_protocol的注册名称，必须和-O参数里的字符串完全一致（大小写、空格、符号都不能错）。比如脚本里注册的是MyCustomProto，就不能在-O里写"my lua protocol"。可以用tshark -X lua_script:my.lua -G protocols命令列出所有已加载的协议，找到你自定义协议的准确名称。
• -w参数的冲突
  当使用-w output.pcap时，TShark默认只完成原始数据包的保存，不会输出任何解析内容——哪怕加了-V或-O也没用。如果要同时保存pcap和输出解析结果，得用命令行重定向：

  tshark -X lua_script:my.lua -r input.pcap.gz -w output.pcap -O "你的协议名" -V > parse_result.txt
  

  或者分两步执行：先保存pcap，再单独运行解析命令输出内容。
• 协议绑定逻辑
  确认Lua脚本里是否把自定义协议正确绑定到了上层协议（比如UDP），比如调用proto_dissector_add("udp", my_proto_dissector)。如果没绑定，TShark不知道该用你的解析器处理哪些数据包，自然不会输出解析内容。
• 解析逻辑有效性
  检查脚本中的dissector函数是否正确触发：可以在脚本里加print("Dissector triggered")这类调试语句，然后用tshark -X lua_script:my.lua -X lua_debug:1 -r input.pcap.gz运行，看是否有调试输出，判断解析器是否被调用。

分步测试流程 #

1. 先剥离-w参数验证解析输出：

   tshark -X lua_script:my.lua -r input.pcap.gz -O "准确协议名" -V
   

   如果能正常输出，说明协议注册和解析逻辑没问题，问题出在-w的使用方式上。
2. 确认自定义协议的注册名：

   tshark -X lua_script:my.lua -G protocols | grep -i "你的协议关键词"
   

   把找到的准确名称替换到-O参数中。
3. 同时完成保存和解析输出：

   tshark -X lua_script:my.lua -r input.pcap.gz -w output.pcap -O "准确协议名" -V > output.txt
   

内容的提问来源于stack exchange，提问作者aley