lua - 如何在 Wireshark 中使用 Lua 字段提取器？

Question

我有这样的协议(protocol)
“数据包”——一系列消息
{标题}{内容}{标题}{内容}...

“头部” - 1 个字节
bit 1-7 : 消息长度
位 8:是否为真消息

这是一个udp通信，我必须使用第8位来确定是否需要跳过消息。
以下是我的玩具解析器，我面临的问题是如何提取帮助我做出决定的 bool 值。

TOY_proto = Proto("TOY", "TOY Protocol")

local isSkip = ProtoField.new("Is Skip?", "mytoy.isSkip", ftypes.BOOLEAN, {"Yes", "No"}, 8, 0x01)
local msgLen = ProroField.new("Message Length", "mytoy.msgLen", ftypes.UINT8, nil, base.DEC, 0xFE)

TOY_proto.fields = {isSkip, msgLen}

local isSkip_Field = Field.new("mytoy.isSkip")
local function getIsSkip()
    return isSkip_Field()()
end
local msgLen_Field = Field.new("mytoy.msgLen")
local function getMsgLen()
    return msgLen_Field()()
end

function TOY_proto.dissector(tvbuf, pktinfo, root)
    pktinfo.cols.protocol = "TOY"
    local pktlen = tvbuf:reported_length_remaining()
    local pos = 0

    while pos < pktlen do
        local headTree = tree:add("Head")
        headTree:add_le(isSkip, tvbuf:range(pos,1))
        headTree:add_le(msgLen, tvbuf:range(pos,1))
        if getIsSkip() then
            pos = pos + getMsgLen()
        else
            -- do something else
        end
    end
end
udp_table = DissectorTable.get("udp.port")
udp_table:add(6628, TOY_proto)

问题是在第一个循环中，每个变量都正确，但在第一个循环之后，getIsSkip() 和 getMsgLen() 返回的值始终不变。

Answer 1

当你这样做时:

return isSkip_Field()()

你真正做的在逻辑上等同于:

-- extract the FieldInfo object using the Field object "isSkip_Field"
local tempFieldInfo = isSkip_Field()

-- get the Lua boolean value of the FieldInfo object
local tempValue = tempFieldInfo()

-- return it
return tempValue

我提到上面的内容是为了解释为什么你会得到你在这个答案后面得到的东西......

当您调用字段提取器(即，您调用 Field 对象以获取 FieldInfo 对象)时，您实际上返回了每个 FieldInfo 调用提取器时存在于该数据包中的 Field 类型的对象。您的数据包包含您的协议(protocol)的多个“消息”，因此在每个循环中，您都会为同一个数据包返回前一个循环的 FieldInfo 对象以及当前的对象。

换句话说，当您的脚本执行时:

return isSkip_Field()()

...第一次对于数据包，它取回了一个 FieldInfo 对象，调用了它，并得到了 bool 值。当它第二次运行时，对 isSkip_Field() 的调用实际上返回了 两个 FieldInfo 对象，但它丢弃了第二个，因为代码是逻辑上等同于我在这个答案的顶部写的代码，而不是只调用第一个实例，当然 rteturns 与第一个循环迭代相同的 bool 值；当它针对同一个数据包第三次运行时，它返回了三个 FieldInfo 对象，丢弃了后两个，调用了第一个，等等。

因此，您真正想要做的是在每次循环迭代中选择正确的 FieldInfo 对象 - 即最近(最后)一个。您可以通过以下两种方式之一执行此操作:(1) 使用 Lua select() 函数，或 (2) 将返回的 FieldInfo 对象放入表中并检索最后一个条目。

例如，这样做:

local isSkip_Field = Field.new("mytoy.isSkip")
local function getIsSkip(num)
    return select(num, isSkip_Field())()
end
local msgLen_Field = Field.new("mytoy.msgLen")
local function getMsgLen(num)
    return select(num, msgLen_Field())()
end

function TOY_proto.dissector(tvbuf, pktinfo, root)
    pktinfo.cols.protocol = "TOY"
    local pktlen = tvbuf:reported_length_remaining()
    local pos = 0

    local num = 1
    while pos < pktlen do
        local headTree = tree:add("Head")
        headTree:add_le(isSkip, tvbuf:range(pos,1))
        headTree:add_le(msgLen, tvbuf:range(pos,1))
        if getIsSkip(num) then
            pos = pos + getMsgLen(num)
        else
            -- do something else
        end
        num = num + 1
    end
end

...或者这个:

local isSkip_Field = Field.new("mytoy.isSkip")
local function getIsSkip()
    local tbl = { isSkip_Field() }
    return tbl[#tbl]()
end
local msgLen_Field = Field.new("mytoy.msgLen")
local function getMsgLen()
    local tbl = { msgLen_Field() }
    return tbl[#tbl]()
end

function TOY_proto.dissector(tvbuf, pktinfo, root)
    pktinfo.cols.protocol = "TOY"
    local pktlen = tvbuf:reported_length_remaining()
    local pos = 0

    while pos < pktlen do
        local headTree = tree:add("Head")
        headTree:add_le(isSkip, tvbuf:range(pos,1))
        headTree:add_le(msgLen, tvbuf:range(pos,1))
        if getIsSkip() then
            pos = pos + getMsgLen()
        else
            -- do something else
        end
    end
end

...或者如果有很多字段，这可能会更好:

local isSkip_Field = Field.new("mytoy.isSkip")
local msgLen_Field = Field.new("mytoy.msgLen")

local function getFieldValue(field)
    local tbl = { field() }
    return tbl[#tbl]()
end

function TOY_proto.dissector(tvbuf, pktinfo, root)
    pktinfo.cols.protocol = "TOY"
    local pktlen = tvbuf:reported_length_remaining()
    local pos = 0

    while pos < pktlen do
        local headTree = tree:add("Head")
        headTree:add_le(isSkip, tvbuf:range(pos,1))
        headTree:add_le(msgLen, tvbuf:range(pos,1))
        if getFieldValue(isSkip_Field) then
            pos = pos + getFieldValue(msgLen_Field)
        else
            -- do something else
        end
    end
end