Reensamblaje de paquetes en un disector de Lua Wireshark

wireshark-dissector

Question

Intento escribir un disector para el protocolo de depuración remota de Safari, que se basa en bplists y ha tenido un éxito razonable (el código actual está aquí: https://github.com/andydavies/bplist-dissector ).

Sin embargo, estoy teniendo problemas al reensamblar paquetes.

Normalmente, el protocolo envía un paquete con 4 bytes que contiene la longitud del siguiente paquete, luego el paquete con el bplist.

Desafortunadamente, algunos paquetes del simulador iOS no siguen esta convención y los cuatro bytes están etiquetados en la parte frontal del paquete bplist, o en el extremo del paquete bplist anterior, o los datos son múltiples listas de bp.

Intenté volver a desegment_len usando desegment_len y desegment_offset siguiente manera:

 function p_bplist.dissector(buf, pkt, root)
-- length of data packet
local dataPacketLength = tonumber(buf(0, 4):uint())
local desiredPacketLength = dataPacketLength + 4
-- if not enough data indicate how much more we need
if desiredPacketLen > buf:len() then
pkt.desegment_len = dataPacketLength
pkt.desegment_offset = 0
return
end
-- have more than needed so set offset for next dissection
if buf:len() > desiredPacketLength then
pkt.desegment_len = DESEGMENT_ONE_MORE_SEGMENT
pkt.desegment_offset = desiredPacketLength
end
-- copy data needed
buffer = buf:range(4, dataPacketLen)
...

Lo que trato de hacer aquí es forzar siempre que los bytes de tamaño sean los primeros cuatro bytes de un paquete para diseccionar pero no funciona Todavía veo un paquete de 4 bytes, seguido de un paquete de bytes x .

Puedo pensar en otras formas de administrar los cuatro bytes adicionales en el frente, pero el protocolo contiene una tabla de búsqueda que es de 32 bytes desde el final del paquete, así que necesito una manera de empalmar el paquete con precisión en bplists.

Aquí hay un límite de ejemplo: http://www.cloudshark.org/captures/2a826ee6045b # 338 es un ejemplo de un paquete donde el tamaño del bplist está al comienzo de los datos y hay múltiples listas en los datos.

¿Estoy haciendo esto bien (buscando otras preguntas sobre SO, y me parece que hay ejemplos en la web) o hay una mejor manera?

Answer 1

Dissector TCP packet- tcp.c tiene tcp_dissect_pdus (), que

Bucle para diseccionar PDU dentro de una secuencia TCP; asume que una PDU consiste en un fragmento de longitud fija de datos que contiene suficiente información para determinar la longitud de la PDU, seguido por el resto de la PDU.

No existe tal función en lua api, pero es un buen ejemplo de cómo hacerlo.

Un ejemplo más Lo usé hace un año para las pruebas:

local slicer = Proto("slicer","Slicer")
function slicer.dissector(tvb, pinfo, tree)
local offset = pinfo.desegment_offset or 0
local len = get_len() -- for tests i used a constant, but can be taken from tvb
while true do
local nxtpdu = offset + len
if nxtpdu > tvb:len() then
pinfo.desegment_len = nxtpdu - tvb:len()
pinfo.desegment_offset = offset
return
end
tree:add(slicer, tvb(offset, len))
offset = nxtpdu
if nxtpdu == tvb:len() then
return
end
end
end
local tcp_table = DissectorTable.get("tcp.port")
tcp_table:add(2506, slicer)