wireshark源码分析 是怎么完成协议识别的

代码流程

通过process_packet_single_pass处理单个数据包,每层数据包都会使用decode_udp(tcp)_ports识别协议,这里面提供端口和特征识别;

端口识别:dissector_try_uint_new

在接口内通过find_uint_dtbl_entry

如果是一个HTTP数据包,在这里就会通过接口获取key为80的对象。

特征识别:dissector_try_heuristic

关于特征识别,wireshark是不太注重的,因为其使用场景多为协议分析,读取文件的形式。对于特征流量都会通过协议首选项随时配置。

在接口里面

那么怎么让协议支持特征识别,才是话题里关心的。在wireshark中,他所有的协议相关操作,都是通过一个全局变量处理的,变量的内容就是一个关于接口描述和接口回调的成员。所有协议都在里面,我们以http示例。

这个文件的位置在

build/epan/dissectors/dissectors.c

变量名:注册解析处理回调

dissector_reg_handoff

其中http特征位置在

proto_reg_handoff_message_http接口,看一下里面做了什么

很简单,对比其他工具特征识别逻辑(比如suricata的hyperscan),wireshark针对特征识别真的很简单。。。。。。。

相关推荐
bing_1581 小时前
MQTT 和 HTTP 有什么本质区别?
网络·网络协议·http
杨浦老苏3 小时前
Docker端口映射查看工具Dockpeek
网络·docker·群晖
未来之窗软件服务3 小时前
通过网页调用身份证阅读器http websocket方法-华视电子————仙盟创梦IDE
网络·网络协议·http·仙盟创梦ide·东方仙盟·硬件接入
创小匠4 小时前
创客匠人解析创始人 IP 定位:从专业度到用户心智的占领之道
网络·网络协议·tcp/ip
车载测试工程师5 小时前
车载以太网网络测试-29【SOME/IP-SD】-SD状态机
网络·网络协议·tcp/ip·车载系统·php
高兴达5 小时前
RPC--自定义注解注册发布服务
网络·网络协议·rpc
lang201509286 小时前
Reactor ConnectableFlux支持多订阅者
java·网络
巴里巴气6 小时前
对selenium进行浏览器和驱动进行配置Windows | Linux
selenium·测试工具
在下Z.6 小时前
利用TCP协议,创建一个多人聊天室
网络·网络协议·tcp/ip
pipip.7 小时前
UDP————套接字socket
linux·网络·c++·网络协议·udp