【2019-06-10】使用LUA脚本来扩展wireshark的功能

[历史归档]本文原发布于 cstriker1407.info 个人博客内容为历史存档仅供参考。发布时间2019-06-10 标题使用LUA脚本来扩展wireshark的功能分类编程 / C C / Lua / 网络通讯 标签wireshark·lua使用LUA脚本来扩展wireshark的功能参考文档lua插件最简单实现过滤IP脚本当我们需要拓展wireshark的功能时有2种办法一种是直接修改源代码重新编译发布这种方式比较复杂但是可以改动到非常底层的功能另一种是写lua插件注册到wireshark中这种方式比较简单但是功能有限不过一般情况下都可以满足我们的需求。wireshark的官方文档第二章节【 II. Wireshark Development 】描述了如何定制和开发wireshark第10节【 10. Lua Support in Wireshark 】和第11节【 11. Wireshark’s Lua API Reference Manual 】描述了wireshark的LUA支持情况由于官方文档写的非常清楚这里就简单的笔记几个实例来描述如何使用wireshark的lua脚本功能。参考文档【 https://www.wireshark.org/docs/wsdg_html_chunked/wsluarm.html 】【 https://www.cnblogs.com/zzqcn/p/4827251.html 】lua插件最简单实现新建一个hello_wireshark.lua文件内容如下windownillocalfunctiondemo_main_dlg(user_input)windowTextWindow.new(hello_wireshark demo)window:append(user_input)endlocalfunctiondemo_input_dlg()new_dialog(input demo,demo_main_dlg,please input:)endregister_menu(lua_demo/hello_wireshark,demo_input_dlg,MENU_TOOLS_UNSORTED)然后打开wireshark点击菜单栏**【 帮助 】-【 关于wireshark 】-【 文件夹 】找到 全局配置 **如下图然后打开全局配置文件夹修改文件夹下的init.lua将 hello_wireshark.lua 注册到Wireshark中 。如下图重新打开wireshark点击菜单栏**【 工具 】**就可以看到我们的插件了如下图如果我们修改了lua插件可以点击菜单栏**【 分析 】- 【 重新载入Lua插件 】或者快捷键 Ctrl Shift L ** 来生效不用重启wireshark。过滤IP脚本下面我们笔记一个可以简单过滤IP的lua脚本内容如下windownil-- 判断指定元素value是否在数组tab中localfunctionis_include(value,tab)fork,vinipairs(tab)doifvvaluethenreturntrueendendreturnfalseend-- 将一个字符串分割为一个数组localfunctionsplit_string(input,delimiter)inputtostring(input)delimitertostring(delimiter)if(delimiter)thenreturnfalseendlocalpos,arr0,{}forst,spinfunction()returnstring.find(input,delimiter,pos,true)enddotable.insert(arr,string.sub(input,pos,st-1))possp1endtable.insert(arr,string.sub(input,pos))returnarrend-- 支持多个IP地址输入每个IP间使用,进行分割-- 输入的IP数组localinput_ip_tablenillocalfunctiondemo_main_dlg(input_ips)input_ip_tablesplit_string(input_ips,,)windowTextWindow.new(hello_wireshark demo)localtapListener.new()localfunctionremove()tap:remove()endwindow:set_atclose(remove)functiontap.packet(pinfo,tvb)if(not(is_include(tostring(pinfo.src),input_ip_table)oris_include(tostring(pinfo.dst),input_ip_table)))thenreturnendcontentstring.format(idx:%d %s:%d %s:%d,pinfo.number,pinfo.src,pinfo.src_port,pinfo.dst,pinfo.dst_port)window:append(content.. )endfunctiontap.draw()endfunctiontap.reset()window:clear()endretap_packets()-- 将输入的IP地址做成filter字符串放到wireshark主进程里面localfilter_patternnilfori,dev_ipinipairs(input_ip_table)doif(filter_patternnil)thenfilter_patternstring.format(ip.addr %s,dev_ip)elsefilter_patternfilter_pattern..string.format( or ip.addr %s,dev_ip)endendset_filter(filter_pattern)apply_filter()endlocalfunctiondemo_input_dlg()new_dialog(input ipaddr,demo_main_dlg,ips:)endregister_menu(lua_demo/hello_wireshark,demo_input_dlg,MENU_TOOLS_UNSORTED)我们可以测试下该插件的效果使用wireshark打开一个抓包报文文件然后重新载入下Lua插件然后输入IP255.255.255.255可以看到效果了。如下图