wireshark protobuf 插件

搞网络开发的时候，涉及到很多私有协议。方便是方便，不过抓包分析问题就麻烦了，wireshark是不可能会为我们自己的网络协议开发分析工具的，唯有自己开发协议分析插件。在私有协议方面，google protobuf是一个类似与IDL的语言，用于定义消息接口，并且支持很多语言，原生支持C++、Java和python，而且还有很多第三方的支持，基本上支持C、C#、object-c，AS3，PHP等.目前protobuf的解析并不是wireshark内置支持的，不排除以后的版本会支持。当前网络上有一个工程可以支持protobuf的解析（protobuf-wireshark），但是该插件原生支持的只有linux版本，而且还只支持UDP解析。经本人改造，已经可以支持windows，并且同时支持TCP和UDP解析。TCP时，需要在protobuf之上加上一个4字节的数据长度，用于支持后续的protobuf消息的大小。

_ _ _ _  _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ 

消息长度 protobuf二进制消息内容

消息长度的值只包含protobuf消息的大小，不包含自己4个字节的长度。例如protobuf长度为12字节时， 消息长度里面的值，应该是 00 00 00 0c，总的数据长度为16个字节.（如果无法解析数据长度，调换一下网络字节序）

另外对protobuf消息的定义也有一定的限制，必须有一个顶层的消息，例如Message1 和Message2如果是并列的消息，需要有一个Message来包含Message1和Message2.

【配置】

protobuf的配置文件放在C:\Program Files\Wireshark\protobuf目录下面，C:\Program Files\Wireshark\为wireshark在电脑上的安装目录。protobuf文件夹默认是没有的，自己创建。

把附件 *.proto;*.conf放在protobuf目录下面，把dll放在plugins\1.8.6目录下面。

protobuf-wireshark 插件下载, 测试包下载

插件代码：(代码基于google 上面的protobuf-wireshark 修改)

packet-protobuf.h

1. #ifdef HAVE_CONFIG_H
2. # include "config.h"
3. #endif
5. #include <gmodule.h>
6. #include <epan/packet.h>
7. #include <epan/prefs.h>
8. #include <epan/emem.h>
9. #include <epan/dissectors/packet-tcp.h>
10. #include <epan/filesystem.h>
11. #include <errno.h>
12. #include <string.h>
14. /* TCP数据包的固定头大小*/
15. #define FRAME_HEADER_LEN 4
16. void proto_register_protobuf();
17. void proto_reg_handoff_protobuf();
18. static void dissect_protobuf(tvbuff_t *tvb, packet_info *pinfo, proto_tree *tree);
19. static void dissect_protobuf_udp(tvbuff_t *tvb, packet_info *pinfo, proto_tree *tree);
22. /* Define version if we are not building ethereal statically */
23. #ifndef ENABLE_STATIC
24. G_MODULE_EXPORT const gchar version[] = "0.0";
25. #endif
28. static int proto_protobuf = -1;
30. static dissector_handle_t protobuf_handle;
32. // Protocol field variables - START
33. static int hf_protobuf = -1;
34. // Protocol field variables - END
36. int wireshark_pb_process_protobuf(void *tree_root, int srcport, int dstport, int item_id, void *tvb, void *buf, int buf_size);
37. void wireshark_pb_process_protobuf_register_proto( int proto, const char* dirname );
38. void wireshark_pb_process_protobuf_register_ports();
39. void wireshark_pb_process_protobuf_register_subtree( int proto, const char* name,
40. int *handle, int ** tree_handle );
41. void wireshark_pb_process_protobuf_register_field( int proto, int type,
42. const char* name, const char * fullName,
43. int *handle );
44. /* Register plugin - START */
45. #ifndef ENABLE_STATIC
46. G_MODULE_EXPORT void
47. plugin_register(void) {
48. /* register the new protocol, protocol fields, and subtrees */
49. if (proto_protobuf == -1) { /* execute protocol initialization only once */
50. proto_register_protobuf();
51. }
52. }
53. G_MODULE_EXPORT void
54. plugin_reg_handoff(void){
55. proto_reg_handoff_protobuf();
56. }
57. #endif
58. void proto_register_protobuf(void) {
60. module_t *protobuf_module;
61. char* dirname;
62. if (proto_protobuf == -1) {
63. proto_protobuf = proto_register_protocol (
64. "protobuf ",/* name */
65. "protobuf",/* short name */
66. "protobuf"/* abbrev */
67. );
68. }
69. protobuf_module= prefs_register_protocol(proto_protobuf, proto_reg_handoff_protobuf);
71. /*char**/ dirname = get_persconffile_path("protobuf", FALSE, FALSE);
72. if( test_for_directory( dirname ) != EISDIR )
73. {
74. /* Although dir isn't a directory it may still use memory */
75. g_free( dirname );
77. dirname = get_datafile_path("protobuf");
79. if( test_for_directory( dirname ) != EISDIR )
80. {
81. g_free( dirname );
82. dirname = NULL;
83. }
84. }
86. wireshark_pb_process_protobuf_register_proto( proto_protobuf, dirname );
87. }
91. void proto_reg_handoff_protobuf (void) {
92. static int Initialized=FALSE;
93. unsigned int i = 0;
95. if (!Initialized) {
96. protobuf_handle = create_dissector_handle(dissect_protobuf, proto_protobuf);
98. wireshark_pb_process_protobuf_register_ports();
99. }
100. }
101. /* Register plugin - END */
105. /* 解析一个TCP数据包，wireshark会自动做分包和合并处理，此数据是一个完成的数据包，包含包头的内容*/
106. static void dissect_protobuf_message(tvbuff_t *tvb, packet_info *pinfo, proto_tree *tree)
107. {
108. /* TODO: implement your dissecting code */\
109. if (check_col(pinfo->cinfo, COL_PROTOCOL)) {
110. col_set_str(pinfo->cinfo, COL_PROTOCOL, "protobuf-tcp");
111. }
113. /* Clear out stuff in the info column */
114. if(check_col(pinfo->cinfo,COL_INFO)){
115. col_clear(pinfo->cinfo,COL_INFO);
116. }
119. if (tree) { /* we are being asked for details */
121. /* Always make sure that offset is LESS than maxOffset */
122. gint data_len = tvb_get_ntohl(tvb, 0);
123. proto_item * ti = NULL;
124. tvbuff_t * next_tvb = tvb_new_subset_remaining (tvb,4);
125. gint maxOffset = tvb_length(next_tvb);
127. ti = proto_tree_add_item(tree,proto_protobuf,tvb,0,4,ENC_NA);
128. proto_item_append_text(ti, ", Length %d",data_len);
129. wireshark_pb_process_protobuf((void *) tree, pinfo->srcport, pinfo->destport, hf_protobuf,
130. (void *)next_tvb, (void *)tvb_get_ptr(next_tvb,0,data_len), data_len);
131. }
132. }
134. /* TCP数据包的总长度，包含包头长度 */
135. static guint get_protobuf_message_len(packet_info *pinfo, tvbuff_t *tvb, int offset)
136. {
137. /* TODO: change this to your needs */
138. return (guint)tvb_

复制代码