c - Wireshark 中是否有一个函数可以用来解码内存缓冲区而不是捕获文件中的数据包？

Question

我一直在阅读 Wireshark 附带的文档以及分析源代码以确定 Wireshark 中是否有一个函数或函数集合允许我传递包含捕获数据的缓冲区(而不是使用外部文件).

我问了this question也在 Wireshark-dev 列表中，但没有任何响应。

据我所知，你告诉 Wireshark 在哪里寻找数据包(根据文件、管道或套接字)，它会告诉你何时从该流中获得数据包，所以我的直觉是没有这不是一种将指针传递给包含捕获数据的缓冲区并让 Wireshark 解析它可以在那里找到的任何内容的方法。

但是，我绝不是 Wireshark 内部的专家，所以我希望 SO 能帮助我找出明确的答案。谢谢。

Answer 1

您是否尝试过创建一个新的 tvbuff_t 作为 TVBUFF_REAL_DATA 并提供您的内存区域作为 data 参数？

tvbuff_t *tvb = tvb_new_real_data(mem_buffer_ptr, mem_buf_length, mem_buf_length);
//mem_buffer_ptr is your memory buffer
//mem_buf_length is the number of bytes in your buffer

Wireshark 历来不能很好地与其他应用程序配合使用，因此它是否有效是值得怀疑的，尤其是当您认为您的数据在被剖析时可能会发生变化时。是不是不能写出一个临时文件？