Wireshark建立流表Lua插件

精选原创

迎难学字 2024-05-05 10:53:53 ©著作权

文章标签 Wireshark Lua IP 文章分类 软件研发

©著作权归作者所有：来自51CTO博客作者迎难学字的原创作品，请联系作者获取转载授权，否则将追究法律责任

Wireshark 的 Lua 插件可以用来扩展 Wireshark 的功能，包括建立流表（flow table）来追踪网络流量中的特定数据流。这里提供一个基本的步骤来创建一个 Lua 插件，用于建立流表：

步骤 1：了解 Wireshark 和 Lua API

首先，你需要熟悉 Wireshark 的 Lua API。Wireshark 提供了丰富的 API 文档，你可以在 Wireshark 官网或者通过 Wireshark 的帮助菜单找到相关文档。

步骤 2：创建 Lua 脚本

打开你的文本编辑器，创建一个新的 Lua 文件，比如 flow_table.lua。
在 Lua 文件中，首先需要定义你的插件信息和所需要追踪的协议。

-- 定义插件
local plugin = Proto("FlowTable", "Flow Table Plugin")

-- 定义你需要解析的协议字段
local f = {
    ip_src = ProtoField.ipv4("flowtable.ip_src", "Source IP"),
    ip_dst = ProtoField.ipv4("flowtable.ip_dst", "Destination IP"),
    port_src = ProtoField.uint16("flowtable.srcport", "Source Port"),
    port_dst = ProtoField.uint16("flowtable.dstport", "Destination Port")
}

plugin.fields = { f.ip_src, f.ip_dst, f.port_src, f.port_dst }

步骤 3：处理数据包

在你的 Lua 插件中添加处理数据包的函数。你需要解析数据包，提取必要的信息，并根据这些信息建立流表。

-- 解析数据包
function plugin.dissector(buffer, pinfo, tree)
    local subtree = tree:add(plugin, buffer())

    local ip_src = buffer(26, 4):le_uint()
    local ip_dst = buffer(30, 4):le_uint()
    local port_src = buffer(34, 2):le_uint()
    local port_dst = buffer(36, 2):le_uint()

    subtree:add(f.ip_src, ip_src)
    subtree:add(f.ip_dst, ip_dst)
    subtree:add(f.port_src, port_src)
    subtree:add(f.port_dst, port_dst)

    -- 这里可以添加流表逻辑
end

步骤 4：注册插件

在 Lua 文件的末尾，添加代码来注册你的插件。

local tcp_dissector_table = DissectorTable.get("tcp.port")
tcp_dissector_table:add(80, plugin)  -- 仅作为示例，针对 HTTP 端口

步骤 5：加载插件

打开 Wireshark。
从“帮助”菜单选择“关于Wireshark”，然后选择“插件”标签查看你的 Lua 插件是否加载。
将 Lua 脚本放置在 Wireshark 的插件目录中，或通过 Wireshark 的“编辑”->“首选项”->“Lua”添加你的脚本文件路径。

在 Wireshark 中，通过 Lua 插件呈现流表可以通过几种方式实现。最常用的方法之一是在自定义的协议树视图中展示这些信息，或者使用专门的图形界面如 GTK 或 QT 来创建一个更交互式的视图。以下是几种基本方法来呈现流表信息：

方法 1：使用协议树

在之前的 Lua 脚本例子中，我们已经将数据添加到了协议树中。这可以让每个数据包显示它的源 IP、目的 IP、源端口和目的端口等信息。这种方法简单直观，适合快速查看单个数据包的流信息。

方法 2：使用自定义视图

对于更动态的流表展示，你可以使用 Wireshark 的 GUI 编程接口（如 GTK 或 QT），创建一个窗口来动态地展示和更新流表。这需要更多的编程工作，但可以提供更丰富的交互和视觉体验。

以下是一个简单的示例，展示如何使用 Lua 脚本在 Wireshark 中创建一个简单的 GTK 对话框来显示流信息：

local tap = Listener.new(nil, "ip")

local flow_table = {}

function tap.packet(pinfo, tvb, ip)
    local src_ip = tostring(pinfo.net_src)
    local dst_ip = tostring(pinfo.net_dst)
    local src_port = tostring(pinfo.src_port)
    local dst_port = tostring(pinfo.dst_port)

    local flow_key = src_ip .. ":" .. src_port .. " -> " .. dst_ip .. ":" .. dst_port

    if not flow_table[flow_key] then
        flow_table[flow_key] = 1
    else
        flow_table[flow_key] = flow_table[flow_key] + 1
    end
end

function tap.draw()
    local win = TextWindow.new("Flow Table")
    for key, count in pairs(flow_table) do
        win:append(key .. " packets: " .. count .. "\n")
    end
end

function tap.reset()
    flow_table = {}
end