能否修改Wireshark中Protobuf解析生成的现有dissection tree？

问题场景 #

我正在为自定义TCP协议开发Lua dissector：协议流结构为「分隔字符串（消息名）+4字节无符号整数（消息长度）+Protobuf消息数据」。用Wireshark内置Protobuf解析器实现基础解析没问题，但遇到了特殊需求：
Protobuf消息中存在联合体结构，包含两个字段：string类型存子消息名称，bytes类型存子消息的二进制数据。我希望把bytes字段默认显示的十六进制内容，替换为解析后的子消息实际数据，但发现Wireshark生成的解析树是只读的，无法遍历修改现有节点。

可行解决方案 #

Wireshark Lua API确实不支持修改已生成的Protobuf解析树，但可以通过提前拆分解析流程实现需求，核心思路是不依赖内置解析器直接生成完整树，而是手动拆分顶层消息与嵌入子消息的解析：

1. 手动解析顶层消息，提取联合体字段 #

不要直接调用内置Protobuf dissector生成完整树，而是先用ProtobufDecoder手动解析顶层消息，提取出联合体中的子消息名称和对应bytes数据：

local protobuf_dissector = Dissector.get("protobuf")
-- 顶层消息的类型名称（需确保Wireshark已加载对应desc文件）
local TOP_MSG_TYPE = "your.protocol.TopMessage"

-- 从TCP流中提取的顶层Protobuf数据tvb
local top_tvb = ... 
local top_tree = proto_tree:add(your_protocol, top_tvb, "Top Message")

-- 手动解码顶层消息，获取联合体字段
local decoder = ProtobufDecoder.new(TOP_MSG_TYPE)
local decode_result = decoder:decode(top_tvb)
local sub_msg_name = decode_result.fields["sub_msg_name"].value
local sub_msg_raw_bytes = decode_result.fields["sub_msg_data"].value

2. 单独解析嵌入子消息并挂载到树中 #

把提取到的bytes数据转为tvb，调用Protobuf dissector指定子消息类型解析，将结果挂载到顶层树的联合体节点下，替代默认的十六进制显示：

-- 将原始bytes转为tvb
local sub_tvb = ByteArray.tvb(sub_msg_raw_bytes, "Embedded Sub Message")
-- 创建子消息树节点
local sub_tree = top_tree:add(your_protocol, sub_tvb, string.format("Embedded Sub Message: %s", sub_msg_name))

-- 复制pinfo并指定子消息类型，确保Protobuf dissector正确解析
local pinfo_copy = pinfo:copy()
pinfo_copy.private["protobuf_message_type"] = sub_msg_name
-- 调用Protobuf dissector解析子消息
protobuf_dissector:call(sub_tvb, pinfo_copy, sub_tree)

3. 隐藏原始bytes字段（可选） #

如果不想保留原始的十六进制bytes显示，可以在解析顶层消息时，不为sub_msg_data字段添加树节点，直接用解析后的子消息节点替代。

误区澄清 #

你最初想修改已生成解析树的思路确实不可行：Wireshark的解析树一旦生成就是只读状态，Lua API没有提供遍历或修改现有节点的接口。正确的做法是主动拆分解析流程，而不是被动修改已生成的树结构。

内容的提问来源于stack exchange，提问作者Kevin