问题标签 [wireshark-dissector]

如何读取在wireshark-dissector中收到的数据包大小？该数据是否可从 tvbuff_t 获得？

我正在尝试为基于 bplists 的 Safari 远程调试协议编写一个解析器，并且已经相当成功（当前代码在这里：https ://github.com/andydavies/bplist-dissector ）。

不过，我在重新组装数据包时遇到了困难。

通常，协议会发送一个包含 4 个字节的数据包，其中包含下一个数据包的长度，然后是包含 bplist 的数据包。

不幸的是，来自 iOS 模拟器的一些数据包不遵循此约定，这四个字节要么被标记到 bplist 数据包的前面，要么被标记到前一个 bplist 数据包的末尾，或者数据是多个 bplist。

我尝试使用以下方法重新组装desegment_len它们desegment_offset：

我在这里尝试做的总是强制将大小字节作为要解析的数据包的前四个字节，但它不起作用我仍然看到一个 4 字节的数据包，然后是一个x字节的数据包。

我可以想到其他管理前面额外四个字节的方法，但是该协议包含一个查找表，该表距数据包末尾 32 个字节，因此需要一种将数据包准确拼接到 bplist 中的方法。

这是一个示例上限：http : //www.cloudshark.org/captures/2a826ee6045b #338 是一个数据包示例，其中 bplist 大小位于数据的开头，并且数据中有多个 plist。

我这样做是否正确（查看其他关于 SO 的问题，以及我似乎在网络上的示例）还是有更好的方法？

我已经为 WireShark 框架编写了自己的插件（解析器）。现在它正在与我与插件一起构建的 WireShark 一起工作。但是当我把这些dll文件放到安装好的WireShark的Plugin目录下时，就无法加载了。我收到消息：

在此之后，我收到了这条消息，也许还有更多细节。

我已经用 MSVC2008EE 编译了 WireShark 和我的插件。是否由于插件的编译器版本和来自 Web 的 WireShark 的不同而出现错误？因为使用我构建的 WireShark（也使用 MSVC2008EE）一切正常。

最好的问候比约恩

我写了一个名为 PLUGIN 的 wireshark 解剖器。

现在，当我测试它时，由于某种原因，可以在 Wireshark 上看到一个 X 类型的数据包作为 PLUGIN（就像它应该的那样），然后其他一些相同类型的 X 数据包不能被视为 PLUGIN。

其他数据包可以在 .pcap 中找到[TCP segment of a reassembled PDU]

问题是：为什么 WireShark 不像 X 类型的第一个数据包那样剖析 X 类型的其他数据包并将其显示为 PLUGIN ？

为什么解剖只在第一次起作用？

我使用函数来组装切碎的数据包片段：

如“9.4.2. 如何重新组装拆分的 TCP 数据包”中所述

在“ http://www.wireshark.org/docs/wsdg_html_chunked/ChDissectReassemble.html#TcpDissectPdus”

这是解剖的功能： （FRAME_HEADER_LEN = 8）

更多信息：

1. 我在一些十六进制编辑器上打开了file.pcap，我可以看到wireshark没有解析我的数据包......

2. 在wireshark里面我可以找到一个wireshark没有解析的数据包，信息是：“[TCP segment of a reassembled PDU]”，但它没有说它属于哪个重组数据包，我找不到它任何地方...

我写了一个解剖器，

我发现了一个数据包，其中包含几个不同/无关紧要的消息，

有人可以指出这个问题吗？这甚至是一个问题吗？

我重新组装 TCP 数据包...

这是解剖的功能： （FRAME_HEADER_LEN = 8）

我正在开发一个可以分析ip pacakge的工具，但是我发现当ip包的总长度大于1500时，wireshark会在原始数据文件中显示长度为0。![wireshark 快照][wireshark 快照]

all：
Wireshark 有什么好的 Redis 解析器吗？我用过这个：https ://github.com/jzwinck/redis-wireshark ，但在解剖时似乎有些错误。
首先十分感谢！

我有一个 .pkt 嗅探器捕获。当我从我的 C 应用程序读取捕获中的每个数据包时，我观察到附加了一个无线电标头。无线电报头包含每个数据包的纪元时间。我想以毫秒为单位找出两个数据包之间的时间差。我不确定如何区分两个纪元值并找出以毫秒为单位的时间差。请帮我解决一下这个。

我们的团队目前正致力于构建一个解析特定类型数据包的wireshark解析器。我们已经基于模板构建了我们的数据包。

假设我们构建的插件名称是 ABC，现在我们的目标是，每当我们在 wireshark 的过滤框中输入 ABC 时，我们都希望看到（捕获）我们发送的数据包。

如图所示，如果我们通过 ip.destination 对其进行过滤，wireshark 就知道这些是我们感兴趣的数据包。当前的任务是，当我输入插件名称 ABC 时，我想要相同的结果。

如果问题不是很清楚，我深表歉意，我们才刚刚开始，仍处于初始阶段。非常感谢任何提示或建议！

如何根据以太网中的类型字段调用自己的解剖器？从以太网帧中获取类型值后，我想剖析带有一些附加字段的自定义以太网帧，然后进行正常剖析。

我可以编写解析器，它可以解析指定 UDP/TCP 端口上的数据包，但不知道如何为指定的以太网类型执行此操作。