Wireshark如何解析协议及添加新协议？

Wireshark网络协议解析原理与新协议添加方法

Wireshark作为全球最受欢迎的网络协议分析工具，其核心功能在于对网络数据包进行捕获、解析和可视化，其协议解析原理基于分层模型（如OSI或TCP/IP），通过解析各层协议头部字段，还原出数据包的完整信息，本文将深入探讨Wireshark的协议解析原理，并介绍如何添加自定义协议支持。

Wireshark协议解析原理

Wireshark的协议解析依赖于协议解析器（Dissector），即针对每种协议编写的解析逻辑，其工作流程可分为以下步骤：

1. 数据包捕获
   通过网卡驱动（如WinPcap或libpcap）捕获原始网络数据包，并将其存储在内存或文件中。

2. 协议识别
   根据数据包的端口号、协议类型字段（如以太网类型0x0800表示IPv4）或特定模式匹配，确定数据包所属协议，TCP端口80的流量默认解析为HTTP协议。

3. 分层解析
   按照协议栈逐层解析头部信息：

   • 数据链路层：解析以太网帧头（目标/源MAC地址、类型字段）。
   • 网络层：解析IP包头（源/目的IP、协议字段）。
   • 传输层：解析TCP/UDP头（端口号、序列号等）。
   • 应用层：根据协议类型解析HTTP、DNS等具体字段。

4. 字段显示与重构
   将解析后的字段以树形结构（Packet Details面板）和十六进制/文本形式（Packet Bytes面板）展示，并支持过滤（如http.request）。

   

下表总结了常见协议的解析关键点：

协议层	协议示例	解析重点
数据链路层	Ethernet	MAC地址、EtherType（0x0806=ARP）
网络层	IPv4	版本、头部长度、协议字段（6=TCP）
传输层	TCP	端口号、标志位（SYN/ACK）
应用层	DNS	查询类型、资源记录（A/AAAA记录）

新协议添加方法

当需要分析私有或新兴协议时，可通过以下步骤为Wireshark添加自定义支持：

1. 协议规范分析
   获取协议的详细规范（如RFC文档或厂商白皮书），明确数据包结构、字段定义及编码规则。

2. 编写解析器代码
   使用C语言或Lua脚本开发协议解析器，Lua脚本更简单，适合快速实现：

   -- 示例：解析自定义协议"MYPROTO"  
   do  
     local proto = Proto("MYPROTO", "My Custom Protocol")  
     local f_type = ProtoField.uint16("myproto.type", "Type", BASE_HEX)  
     proto.fields = {f_type}  
     function proto.dissector(tvbuf, pktinfo, tree)  
       local subtree = tree:add(proto, tvbuf)  
       subtree:add(f_type, tvbuf(0, 2))  
     end  
   end  

3. 注册协议到Wireshark

   

   • Lua脚本：将脚本放入~/.local/wireshark/plugins/目录，重启Wireshark即可加载。
   • C插件：编译为动态库（.dll/.so），通过init.lua注册。

4. 测试与调试
   使用Wireshark的“专家模式”（Edit -> Preferences -> Protocols -> MYPROTO）查看解析错误，或通过tshark命令行工具验证输出。

相关问答FAQs

Q1: 如何在Wireshark中过滤特定协议的数据包？
A1: 使用协议名称或关键字作为过滤表达式。

• tcp.port == 80：显示所有HTTP流量。
• dns：仅显示DNS协议数据包。
• icmp && ip.src == 192.168.1.1：显示来自特定IP的ICMP包。

Q2: 自定义协议解析失败时如何排查？
A2: 可通过以下步骤定位问题：

1. 检查协议注册是否成功（Help -> About -> Plugins）。
2. 使用Wireshark Debug模式（-o参数）打印解析日志。
3. 对照协议规范,验证字段偏移量和长度是否正确。