如何改进创建基于 Lua 的 Wireshark 解析器的工作流程

Question

我终于在 Lua for Wireshark，但工作流程实在是太可怕了。它包括在编辑器中编辑自定义 Lua 文件，然后双击示例捕获文件以启动 Wireshark 以查看更改。如果出现错误，Wireshark 会通过对话框或“树分析”子窗格中的红线通知我。然后，我重新编辑自定义 Lua 文件，然后关闭该 Wireshark 实例，然后再次双击我的示例捕获文件。这就像编译一个 C 文件，一次只看到一个编译器错误。

有没有更好（更快）的方法来查看我的更改，而不必一直重新启动 Wireshark？

当时，我使用的是 Wireshark 1.2.9 for Windows，并且启用了 Lua。

Answer 1

自动化此操作的最佳方法是使用命令行。是的，使用 tshark 而不是加载 gui 的东西。

如果您的 lua 脚本名为“proto.lua”，并且它定义了一个名为“MyProto”的协议，该协议使用端口 8888，您可以使用以下命令测试您的解析器：

tshark -X lua_script:proto.lua -O MyProto -V -f "port 8888"

• -V 选项使 tshark 打印所有协议的所有信息。
• -O 选项过滤 -V 选项，使其仅显示列出的 (CSV) 协议上的所有信息。
• -f 选项过滤所有不符合规则的数据包。在这种情况下，任何数据包都不是来自正确的端口。

Answer 2

最新的 Wireshark 版本附带了一个用于运行 lua 脚本的原始控制台。它可以在“工具”->“工具”下找到。卢阿->评价。从那里，您应该能够通过运行 dofile() 来重新加载解析器。您还必须删除以前版本的解析器。

这是基于 TCP 的解析器的示例。

local tcp_dissector_table = DissectorTable.get("tcp.port")
tcp_dissector_table:remove(pattern, yourdissector)
yourdissector = nil

dofile("c:/path/to/dissector.lua")

我建议将此代码放在文件内的函数中。

现在这个答案有一个问题：如果你的脚本创建了一个 Proto 对象，那么你似乎无法使用相同的 id 再次创建它。 Proto 类的构造函数调用 C 函数 proto_register_protocol()（请参阅 epan/wslua/wslua_proto.c）。我找不到任何可以注销协议的 lua 函数。事实上，我什至找不到一个 C 函数来注销它。

Answer 3

您也许可以编写一个 Wireshark 加载的简单包装函数，并让它仅从磁盘加载真实文件（例如通过 dofile()）。这可能会“欺骗”Wireshark 始终重新加载您的 Lua 代码，直到您对它更加满意并可以删除此 hack。

Answer 4

我已经面临同样的问题很长一段时间了，所以我决定创建一个工具来帮助我简化“可怕的工作流程”。有问题的工具是 Wirebait。它旨在让您在不​​使用 Wireshark 编写 Lua 解析器时运行它们。

它的安装和使用非常快速且简单。您所要做的就是加载 Wirebait 模块并在解析器脚本顶部添加一个五行片段。然后，如果您使用 ZeroBrane Studio 等 IDE，Wirebait 允许您即时编写和调试代码，无需使用wireshark。如果您甚至没有 pcap 文件，您可以使用十六进制字符串来表示您要剖析的数据。