手把手教你编译wireshark3.1的c语言插件(windows平台2019-3-20)

手把手教你编译wireshark3.1的c语言插件(windows平台2019-3-20)

资料来源:
https://www.wireshark.org/docs/wsdg_html_chunked/ChSetupWin32.html (官方教程)
http://eucifyy.com/wireshark-dissector-mwe.html (python代码)

简介

wireshark是一个著名的网络嗅探软件,前阵子央视著名的315晚会也有一个教授使用wireshark向我们展示某些不法app非法获取用户隐私的过程。在wireshark中用户可以自行编写插件来做自定义的协议的解析器。有两种途径,一种是c插件的方式,在windows平台下,体现为一个动态链接库.dll文件,放在wireshark插件目录下,这个c插件的优点是速度快,但缺点也很明显,编译工程量大,兼容性差,你这个版本下编译的插件,到另一个版本的wireshark下就完全不能用了。还有一个是lua脚本的方式,这个十分方便,兼容性也好,制作也简单,网上教程也一大堆,但不知道为什么,wireshark官方并不推荐这个。总之,我们还是按照wireshark官方的教程来编译c插件吧。

步骤一、编译一次wireshark源码

这个步骤十分繁琐,但好在官方写的十分详细:https://www.wireshark.org/docs/wsdg_html_chunked/ChSetupWin32.html。按照官方说好的编译完一遍。这样你就安装好了环境,同时编译出了不少目标文件,这些目标文件待会编译插件的时候要用。

步骤二、编译c插件

1.创建源文件

按照这个https://www.wireshark.org/docs/wsdg_html_chunked/ChDissectAdd.html
创建wireshark\plugins\epan\foo目录,并在里面写出packet-foo.c文件(这个foo是你的插件名)

#include "config.h"

#include <epan/packet.h>

#define FOO_PORT 1234

static int proto_foo = -1;

static int dissect_foo(tvbuff_t *tvb, packet_info *pinfo, proto_tree *tree _U_, void *data _U_)
{
    col_set_str(pinfo->cinfo, COL_PROTOCOL, "FOO");
    /* Clear out stuff in the info column */
    col_clear(pinfo->cinfo,COL_INFO);

    return tvb_captured_length(tvb);
}


void proto_register_foo(void)
{
    proto_foo = proto_register_protocol (
        "FOO Protocol", /* name       */
        "FOO",      /* short name */
        "foo"       /* abbrev     */
        );
}
void proto_reg_handoff_foo(void)
{
    static dissector_handle_t foo_handle;

    foo_handle = create_dissector_handle(dissect_foo, proto_foo);
    dissector_add_uint("udp.port", FOO_PORT, foo_handle);
}


2.复制其他插件文件作为模板

之后将wireshark\plugins目录下的plugin.rc.in文件复制进foo目录,以及wireshark\plugins\epan\gryphon目录下的CMakeLists.txt也复制进foo目录。

3.修改插件信息

使用记事本打开CMakeLists.txt,将里面的“gryphon”文本都替换为foo。

4.修改自制插件配置

进入wireshark目录,把里面的“CMakeListsCustom.txt.example”重命名为“CMakeListsCustom.txt”,打开CMakeListsCustom.txt,去掉里面的某个"#",使得"set(CUSTOM_PLUGIN_SRC_DIR plugins/epan/foo)"这样一个语句完整,这里的plugins/epan/foo就是你的插件的目录。

set(CUSTOM_PLUGIN_SRC_DIR
    plugins/epan/foo
)

# Do not fail CMake stage if any of the optional plugins are missing from source tree
set(_OPTIONAL_CUSTOM_PLUGIN_SRC_DIR
    plugins/epan/bar
)

foreach(  _plugin_dir ${_OPTIONAL_CUSTOM_PLUGIN_SRC_DIR} )
    if( EXISTS ${CMAKE_CURRENT_SOURCE_DIR}/${_plugin_dir}/CMakeLists.txt )
        list( APPEND CUSTOM_PLUGIN_SRC_DIR ${_plugin_dir} )
    else()
        message( WARNING "Custom plugins: No ${_plugin_dir}/CMakeLists.txt file found - ignoring" )
    endif()
endforeach()

步骤四、重新编译wireshark源码

这次的重新编译,比初次编译要快不少,原因就是初次编译以及生成了足够了目标文件,这次编译只要编译你这个插件就行了。
编译完后你会在你的build目录下run\RelWithDebInfo\plugins\3.1\epan里看到foo.dll,这样就算编译成功了。


捕获2.JPG

步骤五、启动wireshark并测试

启动run\RelWithDebInfo下的wireshark.exe,使用python写一个基于foo协议的程序并测试,脚本如下:

# server.py
from socket import *

serverSocket = socket(AF_INET, SOCK_DGRAM) # UDP
serverSocket.bind(('', 1234))

while True:
    message, address = serverSocket.recvfrom(1024) # buffer size
    serverSocket.sendto('thanks', address)
# client.py
import time
from socket import *

clientSocket = socket(AF_INET, SOCK_DGRAM)
clientSocket.settimeout(1)
message = 'test'
addr = ('127.0.0.1', 1234)

start = time.time()
clientSocket.sendto(message, addr)
try:
    data, server = clientSocket.recvfrom(1234)
    end = time.time()
    elapsed = end - start
    print '%s %d' % (data, elapsed)
except timeout:
    print 'REQUEST TIMED OUT'

注意以上脚本必须用python2来运行,如果你已经安装了python3,你可以再安装一个python2并在bin目录里面添加如下内容的python2.bat:

@echo off
%~dp0/python.exe %*

将bin目录添加到环境变量path即可通过python2命令执行python2。
还需要注意的是,按照默认配置编译的wireshark并不支持监听127.0.0.1这种本机回环地址。你需要安装一个Npcap loopback adapter(https://nmap.org/download.html)
来使得wireshark能够监听该地址。
分别打开两个终端执行如下命令

>python2 server.py
>python2 client.py

如果以上命令成功,你的client窗口会收到一个thanks的返回结果,你可以通过过滤器设置udp.port==1234来获得类似如下嗅探结果(为了测试,我没有采用本机回环地址,而是将server在另一台机子上执行):


捕获.JPG

这样,一个wireshark的c语言插件就初步编好了,需要更加详细的协议解析器(dissector)编程方法,可以去看官方的技术文档:https://www.wireshark.org/docs/wsdg_html_chunked/ChDissectAdd.html