1. Wireshark对Lua的支持

本节相关内容可参考Wireshark开发指南第10章”Lua Support in Wireshark”。

Wireshark集成了Lua解释器，以支持Lua脚本（自己编译的话根据编译配置决定是否支持Lua）。

启动wireshark，依次点击“Help”，”About Wireshark“菜单，在打开的对话框中的”Wireshark”标签页上观察版本信息，如果如下图一样显示With Lua，说明此版本支持Lua插件。

然后打开wireshark主目录下的init.lua文件，确保disable_lua的值为false，即开启了lua：

在Wireshark中，可以使用Lua编写以下几种插件：

• Dissectors
  协议解析器，用于解析报文
• Post-dissectors
  后置解析器，在其他解析器之后被调用
• Listeners
  监听器，用来收集解析后的信息

还需要注意：

1. wireshark启动时，会调用下图目录中的init.lua，顺序是先调用global目录的，再调用personal目录的；
2. 通过命令行参数：
          -X lua_script:my.lua
   传入的my.lua将会在Init.lua之后被调用
3. 所有的Lua脚本会在解析器注册过程的最后被调用，而这一过程是在wireshark启动时就发生的，早于报文被读取的时刻。

2. Lua插件API简介

本节相关内容可参考Wireshark开发指南第11节”Wireshark’s Lua API Reference”。

Wireshark提供了丰富的Lua API供开发者使用，这里只介绍下文需要用到的一些。

2.1 Proto

表示一个新的Protocol，在Wireshark中Protocol对象有很多用处，解析器是其中主要的一个。主要接口有：

2.2 ProtoField

表示协议字段，一般用于解析字段后往解析树上添加节点。根据字段类型不同，其接口可以分为两大类。

整型:
• ProtoField.{type} (abbr, [name], [desc],[base], [valuestring], [mask])
type包括：uint8, uint16, uint24, uint32, uint64, framenum

其他类型
• ProtoField.{type} (abbr, [name], [desc])
type包括：float, double, string, stringz, bytes, bool, ipv4, ipv6, ether,oid, guid

这些接口都会返回一个新的字段对象。方括号内是可选字段，花括号内是可替换的类型字段。

2.3 Tvb

Tvb（Testy Virtual Buffer）表示报文缓存，也就是实际的报文数据，可以通过下面介绍的TvbRange从报文数据中解出信息。主要接口有：

2.4 TvbRange

表示Tvb的可用范围，常用来从Tvb中解出信息。主要接口有

2.5 Pinfo

报文信息(packet information)。主要接口有：

取得报文列表列后，就可以设置该列的文本，比如

pinfo.cols.info = “hello world”

将Info列的文本设为hello world。

2.6 TreeItem

表示报文解析树中的一个树节点。主要接口有：

2.7 DissectorTable

表示一个具体协议的解析表，比如，协议TCP的解析表”tcp.port”包括http,smtp,ftp等。可以依次点击wireshark菜单“Internals”、“Dissector tables”，来查看当前的所有解析表。tcp.port解析表在“Integer tables”选项卡中，顾名思义，它是通过类型为整型的tcp端口号来识别下游协议的：

DissectorTable的主要接口有：

3. 参考

• Lua Support in Wireshark
• Wireshark’s Lua API Reference Manual