Wireshark 中是否有一个函数可以用来解码内存缓冲区中的数据包而不是捕获文件？

Question

我一直在阅读 Wireshark 附带的文档，并分析源代码，以确定 Wireshark 中是否存在函数或函数集合，这将允许我传递包含捕获数据的缓冲区（而不是使用外部文件）。

我也在 Wireshark-dev 列表上问了这个问题，但没有得到回应。

据我了解，你告诉 Wireshark 在哪里寻找数据包（就文件、管道或套接字而言），它会告诉你每当它从该流中获取数据包时，所以我的直觉是没有办法将指针传递给包含捕获数据的缓冲区，并让 Wireshark 解析它在那里找到的任何内容。

然而，我绝不是 Wireshark 内部的专家，所以我希望 SO 能帮助我找到一个明确的答案。谢谢。

Answer 1

您是否尝试过创建一个新的 tvbuff_t 作为 TVBUFF_REAL_DATA 并提供您的内存区域作为 data 参数？

tvbuff_t *tvb = tvb_new_real_data(mem_buffer_ptr, mem_buf_length, mem_buf_length);
//mem_buffer_ptr is your memory buffer
//mem_buf_length is the number of bytes in your buffer

Wireshark 历史上与其他应用程序配合得不好，因此这是否有效是值得怀疑的，特别是如果您认为数据在分析时可能会发生变化。难道不能写出临时文件吗？