使用我的定制解析程序,Wireshark中的数据包数据未在单击时突出显示。

我正在用Lua为一种自定义二进制协议编写分析器。我定义了三种字段类型:

f.field1= ProtoField.bytes("myproto.field1","Field 1",base.HEX)
f.field2= ProtoField.uint16("myproto.field2","Field 2",base.HEX)
f.field3= ProtoField.bytes("myproto.field3","Field 3",base.HEX)

这些字段添加到树中如下:

subtree:add(f.field1,buf(offset,4))
offset = offset +4
val2=buf(offset,2):uint()
-- 省略了一些关于填充f2_description的逻辑
offset=offset+2
subtree:add(f.field2,val2):append_text(" (" ..f2_description ..")")
subtree:add(f.field3,buf(offset,2))

现在,当我打开Wireshark并在解析的数据包树中单击Field1或Field3时,我看到所选数据在原始数据包十六进制视图中(最底部的面板)突出显示:

field selection is highlighted

但是对于Field2不是这样的:

enter image description here

我做错了什么?

原文链接 https://stackoverflow.com/questions/9248769

点赞
stackoverflow用户1232096
stackoverflow用户1232096

如果第二个参数(tree:add(..,..))是 UserData 类型的值或者直接引用 UserData 类型的值,Wireshark 分析器会选择正确的字段。

在你的例子中,buf() 是 UserData,但是 val2 不是。

请尝试这个:

subtree:add(f.field2,buf(offset,2):uint()):append_text(" (" ..f2_description ..")")

另一方面,你不会为 ISO8583 编写解析器,是吗?

2012-02-25 04:44:52