【wireshark】插件开发（四）：Lua插件Post-dissector和Listener

本文主要是介绍【wireshark】插件开发（四）：Lua插件Post-dissector和Listener，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

1. Post-dissector

post-dissector和dissector不同，它会在所有dissectors都执行过后再被执行，这也就post前缀的由来。post-dissector的构建方式和dissector差不多，主要一个区别是注册的方式，post-dissector调用的是register_postdissetor接口。下面给出两个示例。

1.1 最简单的Post-dissector

这个示例主要是演示post-dissector脚本的骨架，它的功能是在packet list的所有info列加上了一个字符串"hello world"。

-- @brief A simple post-dissector, just append string to info column
-- @author zzq
-- @date 2015.08.13local myproto = Proto("hello","Dummy proto to edit info column")-- the dissector function callback
function myproto.dissector(tvb,pinfo,tree)pinfo.cols.info:append(" hello world")
end-- register our new dummy protocol for post-dissection
register_postdissector(myproto)

此插件运行效果如下图：

1.2 识别协议特征

这个示例简单地演示了如何使用post-dissector来识别协议特征。例子中，通过识别tcp载荷中是否含有字符串”weibo“来判断报文是否为weibo报文，如果是，则在packet list的protocol列标出，并在proto tree添加树节点，给出滑动特征在TCP载荷中的位置。

代码如下，其中有好多小问题，但这不是重点，重点是了解如何编写Lua插件。

-- @brief A post-dissector, to indentify pattern in payload
-- @author zzq
-- @date 2015.08.26local weibo = Proto("weibo", "Weibo Service")local function get_payload_offset(data, proto_type)local mac_len = 14;local total_len;local ip_len = (data(14, 1):uint() - 64) * 4;if (proto_type == 0x06) thenlocal tcp_len = (data(46, 1):uint()/16) * 4;total_len = mac_len + ip_len + tcp_len;elseif (proto_type == 0x11) thenlocal udp_len = 8;total_len = mac_len + ip_len + udp_len;endreturn total_len
end-- the dissector function callback
function weibo.dissector(tvb, pinfo, tree)local proto_type = tvb(23, 1):uint();if(proto_type ~= 0x06) thenreturnendlocal offset = get_payload_offset(tvb, proto_type)local data = tvb(offset):string();local i, j = string.find(data, "weibo")if(i) thenpinfo.cols.protocol = weibo.namelocal subtree = tree:add(weibo, tvb(offset+i-1))subtree:append_text(", ptn_pos: " .. i .. "-" .. j)end
end-- register our plugin for post-dissection
register_postdissector(weibo)

运行效果如下图。

2. Listener

Listner用来设置一个监听条件，当这个条件发生时，执行事先定义的动作。

实现一个Listner插件至少要实现以下接口：

创建Listener
listener = Listener.new([tap], [filter])，其中tap, filter分别是tap和过滤条件
listener.packet
在条件命中时调用
listener.draw
在每次需要重绘GUI时调用
listener.reset
清理时调用

以上实现代码一般都包在一个封装函数中，最后把这个函数注册到GUI菜单：

register_menu(name, action, [group])

下面的示例代码对pcap文件中的http报文进行了简单的计数统计：

-- @brief a simple Listener plugin
-- @author zzq
-- @date 2015.08.13local function zzq_listener()local pkts = 0local win = TextWindow.new("zzq Listener")local tap = Listener.new(nil, "http")win:set_atclose(function() tap:remove() end)function tap.packet (pinfo, tvb, tapinfo)pkts = pkts + 1endfunction tap.draw()win:set("http pkts: " .. pkts)endfunction tap.reset()pkts = 0end-- Rescan all packets and just run taps - don’t reconstruct the display.
    retap_packets()
endregister_menu("freeland/zzq Listener", zzq_listener, MENU_STAT_GENERIC)