【wireshark】插件开发（四）：Lua插件Post-dissector和Listener

1. Post-dissector

post-dissector和dissector不同，它会在所有dissectors都执行过后再被执行，这也就post前缀的由来。post-dissector的构建方式和dissector差不多，主要一个区别是注册的方式，post-dissector调用的是register_postdissetor接口。下面给出两个示例。

1.1 最简单的Post-dissector

这个示例主要是演示post-dissector脚本的骨架，它的功能是在packet list的所有info列加上了一个字符串"hello world"。

-- @brief A simple post-dissector, just append string to info column
-- @author zzq
-- @date 2015.08.13

local myproto = Proto("hello","Dummy proto to edit info column")

-- the dissector function callback
function myproto.dissector(tvb,pinfo,tree)
    pinfo.cols.info:append(" hello world")
end

-- register our new dummy protocol for post-dissection
register_postdissector(myproto)

此插件运行效果如下图：

1.2 识别协议特征

这个示例简单地演示了如何使用post-dissector来识别协议特征。例子中，通过识别tcp载荷中是否含有字符串”weibo“来判断报文是否为weibo报文，如果是，则在packet list的protocol列标出，并在proto tree添加树节点，给出滑动特征在TCP载荷中的位置。

代码如下，其中有好多小问题，但这不是重点，重点是了解如何编写Lua插件。

-- @brief A post-dissector, to indentify pattern in payload
-- @author zzq
-- @date 2015.08.26

local weibo = Proto("weibo", "Weibo Service")

local function get_payload_offset(data, proto_type)
    local mac_len = 14;
    local total_len;
    local ip_len = (data(14, 1):uint() - 64) * 4;
    if (proto_type == 0x06) then
        local tcp_len = (data(46, 1):uint()/16) * 4;
        total_len = mac_len + ip_len + tcp_len;
    elseif (proto_type == 0x11) then
        local udp_len = 8;
        total_len = mac_len + ip_len + udp_len;
    end
    return total_len
end

-- the dissector function callback
function weibo.dissector(tvb, pinfo, tree)
    local proto_type = tvb(23, 1):uint();
    if(proto_type ~= 0x06) then
        return
    end
    
    local offset = get_payload_offset(tvb, proto_type)
    local data = tvb(offset):string();
    local i, j = string.find(data, "weibo")
    if(i) then
        pinfo.cols.protocol = weibo.name
        local subtree = tree:add(weibo, tvb(offset+i-1))
        subtree:append_text(", ptn_pos: " .. i .. "-" .. j)
    end
end

-- register our plugin for post-dissection
register_postdissector(weibo)

运行效果如下图。

2. Listener

Listner用来设置一个监听条件，当这个条件发生时，执行事先定义的动作。

实现一个Listner插件至少要实现以下接口：

• 创建Listener
  listener = Listener.new([tap], [filter])，其中tap, filter分别是tap和过滤条件
• listener.packet
  在条件命中时调用
• listener.draw
  在每次需要重绘GUI时调用
• listener.reset
  清理时调用

以上实现代码一般都包在一个封装函数中，最后把这个函数注册到GUI菜单：

register_menu(name, action, [group])

下面的示例代码对pcap文件中的http报文进行了简单的计数统计：

-- @brief a simple Listener plugin
-- @author zzq
-- @date 2015.08.13

local function zzq_listener()
    local pkts = 0
    local win = TextWindow.new("zzq Listener")
    local tap = Listener.new(nil, "http")
    
    win:set_atclose(function() tap:remove() end)
    
    function tap.packet (pinfo, tvb, tapinfo)
        pkts = pkts + 1
    end
    
    function tap.draw()
        win:set("http pkts: " .. pkts)
    end
    
    function tap.reset()
        pkts = 0
    end
    
    -- Rescan all packets and just run taps - don’t reconstruct the display.
    retap_packets()
end
   
register_menu("freeland/zzq Listener", zzq_listener, MENU_STAT_GENERIC)

要查看运行结果，要选择”Statistics“菜单中的freeland/zzq Listerner子菜单来触发。此插件的运行效果如下图：