Lua 中的 Wireshark 解剖器

Question

首先，我完全是 Lua 新手，这是我第一次尝试编写一个 wireshark 解析器。

我的协议很简单——一个 2 字节长度的字段，后跟一个该长度的字符串。

当我通过 Lua 控制台运行代码时，一切正常。

将代码添加到 Wireshark 插件目录时，出现错误

Lua 错误：[string "C:\Users...\AppData\Roaming\Wireshark..."]:15: call 'add' on bad self (number expected, got string)

第 15 行对应的是t:add(f_text... 行。

谁能解释执行方法之间的差异？

do
    local p_multi = Proto("aggregator","Aggregator");

    local f_len = ProtoField.int16("aggregator.length","Length",base.DEC)
    local f_text = ProtoField.string("aggregator.text","Text")

    p_multi.fields = { f_len, f_text }

    local data_dis = Dissector.get("data")

    function p_multi.dissector(buf,pkt,root)
            pkt.cols.protocol = "Aggregator"
            local len = buf(0,2):int()
            local t = root:add(p_multi,buf(0,len+2))
            t:add(f_len,buf(0,2),"Length: " .. buf(0,2):int())
            t:add(f_text,buf(2,len),"Text: " .. buf(2,len):string())
    end

    local tcp_encap_table = DissectorTable.get("tcp.port")
    tcp_encap_table:add(4321,p_multi)
end

Answer 1

您的解析器代码非常接近正确，但您正在做界面无法接受的额外工作。如果您像这样更改 dissector 函数，

function p_multi.dissector(buf,pkt,root)
        pkt.cols.protocol = "Aggregator"
        local len = buf(0,2):int()
        local t = root:add(p_multi,buf(0,len+2))
        t:add(f_len,buf(0,2)) --let Wireshark do the hard work
        t:add(f_text,buf(2,len)) --you've already defined their labels etc.
end

您将获得所需的行为。已经为您的字段定义了标签“文本”和“长度”，因此无需在第 15 行和第 16 行再次提供它们。