如何让 Wireshark 解析器忽略数据包，直到观察到有效流的开始？

Question

我有一个内置在 Lua 中的解析器，它只检查数据包是否以 zlib 标头开头。从那时起，我想实时解压缩该流。

不幸的是，我遇到了流损坏，因为只有一个方向（服务器到客户端）被压缩并且客户端会干扰它。我希望一个解析器处理服务器到客户端的数据包，另一个解析器处理客户端到服务器的数据包，因为它们使用本质上不同的协议，或者一种在一个解析器中处理它们的方法。

棘手的部分还在于，如果没有看到流中的第一个数据包，您就无法解压缩 zlib 流，因此我想以其他颜色显示我的数据包，直到观察到压缩流的开始，可能会将它们过滤掉.

我尝试return 0 和return nil 表示我无法使用解析器处理数据包，但它仍然使用我的解析器协议对其进行标记，因为解析器针对数据包遇到的端口注册了自身。这并没有改变任何东西，所以看起来。

• 如何告诉 Wireshark 我的解析器没有成功处理数据包？
• 当我的客户端收到发往我注册端口的数据包时，如何将数据包推迟到服务器解析器？
• 如何让我的解析器忽略数据包，直到它看到 zlib 流的开头？

Answer 1

• 如何告诉 Wireshark 我的解析器没有成功处理数据包？

您不能 - 如果您已为特定 TCP 或 UDP 端口注册协议解析器，那么该 UDP/TCP 端口的数据包就是您的协议。返回 0、nil 或 false 不会改变这一点。不过，从最近的 Wireshark 1.11.3 版本开始，您可以注册一个 heuristic 解析器。 （更多内容见下文）

• 如何将一个数据包延迟到我的客户端到服务器解析器，当它 收到发往我注册端口的数据包？

让您的proto.dissector() 函数调用您定义的其他两个函数之一。 IE。编写一个名为 process_client 的本地函数和另一个名为 process_server 的本地函数，并在您的 proto.dissector() 函数中调用这些函数，具体取决于使其成为一对一的任何因素。 （听起来源端口与目标端口将成为您的决定因素？）

• 如何让我的解析器忽略数据包，直到它看到 zlib 流的开头？

这取决于您如何理解“忽略”。显然，您需要剖析该端口上的每个数据包......至少足以确定它是否是您正在寻找的开始。通常解析器（C 代码）在这种情况下所做的是将数据包标记为“继续” - 即，这是他们的协议，但他们将信息列设置为他们可以的数据包的文本“继续”解剖。在捕获文件的开头使用基于 TCP 的协议是很常见的，因为在 TCP 流的中间开始捕获而不在第一个 TCP 段中获取整个应用程序消息是很常见的。

另一种选择是使用 heuristic 解析器，它最近被引入 1.11.3。启发式解析器类似于dissector，只是函数的名称不同，并且注册方式略有不同。 （API 记录在 here）dissector.lua 页面顶部的 dissector.lua 脚本实现了启发式解析器。

像普通的dissector 一样，每个数据包都会调用启发式解析器函数，但它会返回true 或false - 如果它返回false，Wireshark 会尝试任何其他已注册的启发式解析器并且不会标记它作为您的协议；如果你返回true，wireshark 知道它是你的。您可以将“conversation”设置为您的协议，然后wireshark 将从那时起为该源/目标IP：端口组合调用您的“正常”dissector 函数。换句话说，你不注册你的“正常”解析器，只是一个启发式解析器，然后你告诉wireshark什么时候开始使用你的普通解析器来处理这个流程。

---

顺便说一句：通常你最好在 ask.wireshark.org 上询问基于 Lua 的 Wireshark 问题，因为那里有更多的人有这方面的经验，而且通常你会更快地得到答案。