Wireshark解析自定义加密协议.docVIP

Wireshark解析自定义加密协议 By Terry 2015年3月15日 一、概述 网上撰文写wireshark使用lua脚本解析协议的文章比较多。 笔者最近也因工作需要使用wireshark解析协议。但因网络安全，协议的数据部分被加密了。无法简单的使用lua脚本进行解析。 考虑到加密算法和压缩算法的复杂性，采用调用lua C库的方法，完成解密（解压）。 下面与大家分享下大致思路。 二、思路和目标 协议的大致格式如下： 协议字段 命名 协议版本(1字节） protoVersion 协议命令类型(2字节） protoCmdType 协议加密类型(1字节） protoEncrytionType 协议压缩类型(1字节） protoCompressionType 协议数据长度(4字节） protoDataLength 协议数据（protoDataLength字节） protoData :本文仅专注于解码，为简化复杂性，暂时不考虑一个UDP/TCP包出现多个自定义数据包的情况。 Lua脚本的伪代码： local p_multi = Proto(multi,MultiProto); local f_protoVersion = ProtoField.uint8(toVersion,Version,base.DEC) local f_protoCmdType = ProtoField.uint16(toCmdType,CmdType,base.DEC,{ [1] = CmdType_1, [2] = CmdType_2, [3] = CmdType_3, }) local f_protoEncrytionType = ProtoField.uint8( toEncrytionType,EncrytionType,base.DEC,{ [1] = EncrytionType_1, [2] = EncrytionType_2, [3] = EncrytionType_3, }) local f_protoCompressionType = ProtoField.uint8( toCompressionType,CompressionType,base.DEC,{ [1] = CompressionType_1, [2] = CompressionType_2, [3] = CompressionType_3, }) local f_protoDataLength = ProtoField.uint32(toDataLength,DataLength,base.DEC) p_multi.fields = { f_protoVersion, f_protoCmdType, f_protoEncrytionType, f_protoCompressionType, f_protoDataLength } function DecodeBufferFunction(protoEncrytionType, protoCompressionType, buf, pos, buf_len) local decodeBuf = buf -- TODO: This artical job return decodeBuf end function p_multi.dissector(buf,pkt,root) local pos = 0 local buf_len = buf:len() local t = root:add(p_multi,buf(0,buf_len)) -- 协议版本(1字节） t:add(f_protoVersion, buf(pos, 1)) pos = pos + 1 -- 协议命令类型(2字节） t:add(f_protoCmdType, buf(pos, 2)) pos = pos + 2 -- 协议加密类型(1字节） t:add(f_protoEncrytionType, buf(pos, 1)) local protoEncrytionType = buf(pos, 1):uint() pos = pos + 1 -- 协议压缩类型(1字节） t:add(f_protoCompressionType, buf(pos, 1)) local protoComp