問題児たちがwiresharkのdissectorをLuaで書くそうですよ？

Proto, ProtoFieldオブジェクトを作る。

第1引数がフィルタ名、第2引数が説明文という理解。:

fbsdping_proto = Proto("fbsdping","FreeBSD ping tool payload")

第1引数がフィルタ名、第2引数が説明文という理解。:

time_F = ProtoField.string("fbsdping.ts","Timestamp")

Proto : http://www.wireshark.org/docs/wsug_html_chunked/lua_module_Proto.html#lua_class_Proto

ProtoField : http://www.wireshark.org/docs/wsug_html_chunked/lua_module_Proto.html#lua_class_ProtoField

ProtoFieldをProtoに関連付け

え、こんだけですけど...。:

fbsdping_proto.fields = {time_F, sec_F, usec_F}

必要なデータを拾ってくる。

デコード前のデータbufferに入っている（bufferというのはこちらが勝手に決めた名前だが）。

実際に値を取得する時は、範囲を指定し、型を決めて使う。:

local sec_range = buffer(start,4)
local sec = sec_range:uint()

これは、利用するときの形態によって変わってくるので一概には言えないものの、tostring()で囲って文字列にしてもいい。

こう書いてもいいのだけど、Fieldを選択した時にHexの該当部分がカラーリングされて欲しいので、分けて書いたほうが何かと便利だろう。:

local sec = buffer(start,4):uint()

既にデコード済みデータを拾う場合は、こんな感じになる。

フィルタで引っ掛けた場所のオブジェクトが貰えるので、valueで値にアクセス。:

icmp_type_f = Field.new("icmp.type")
if icmp_type_f().value == 8 then（以下略）

value以外にも、いくつかパラメータがあるよ。

Field : http://www.wireshark.org/docs/wsug_html_chunked/lua_module_Field.html#lua_class_Field

ツリーに追加

プロトコルを追加する時は、第3引数のtreeにProtoオブジェクトを直接addする。

local subtree = tree:add(fbsdping_proto, fbsdping, "FreeBSD ping tool payload Data")

フィールドを追加する時は、Protoオブジェクトを追加した時に突っ込んだ方にaddする。

local subtimetree = subtree:add(time_F, buffer(start,8), os.date("%Y/%m/%d %H:%M:%S", sec) .. '.' .. tostring(usec) )

ちなみに、bit表現のツリー追加について端折り気味に書くと、

元々のバイト表現:

flag_F = ProtoField.uint16("pdgplus.flaga","Flag A")

True/Falseでフィルタ出来るように、値と文字の関連付け:

local VALS_BOOL = {[0] = "False", [1] = "True"}

ProtoFieldの登録。1Byteの場合は、uint8を選択。16進数表現を使うか、表示フォーマットの指定、どのbitを指すのかを指定する。

flag_F_B = ProtoField.uint8("pdgplus.flag_b","flag B is test bit.", base.HEX, VALS_BOOL, 0x80)

flag自体はバイトで拾って、そのまま渡す。 flag_F_B = ProtoField.uint8の部分で、base.HEX, VALS_BOOL, 0x80を指定してるので、勝手に解釈してくれる。

local flag = flag_range:uint()
subtree:add(flag_B_F, flag_range, flag)

次のプロトコルが決まってる時

以降のプロトコルデコードをwiresharkにお返しする事ができる。今回はdata。

local data_dissector = Dissector.get("data")
data_dissector:call(buffer(start+8):tvb(),pinfo,tree)

Dissector.getすると、指定した解析用処理ブロックを拾ってこれるので、自分でcallデータ位置をずらして呼び出す。

こんな感じで無理矢理次のデコード方式を決めることも出来るので、スーパー意味分かんないカプセル化を解除することも出来るよ。

local data_dissector = Dissector.get("ip")
data_dissector:call(buffer(start+8):tvb(),pinfo,tree)

フック関数の登録

全部のデコードが終わった後に指定した関数が走るように登録。

register_postdissector(fbsdping_proto)

この場合、取得できるバッファは先頭0byte目から全てなので、必要な部分を読み込めるようにポインタ移動処理が待っている。

今回は、こんな風にずらした。

local len = data_len.value
local start = buffer:len() - len
local fbsdping_range = buffer(start,8)

一般的には、ポート番号を引っ掛けて登録することの方が多いと思う。

その場合は、公式サンプルのように DissectorTable.getして、addします。

http://wiki.wireshark.org/Lua/Dissectors

この場合は、取得できるバッファは下位プロトコルから渡されたデータグラムになるので、ポインタ移動は不要である。