如何用好抓包工具wireshark？裝好插件最為重要！

• 2020 年 3 月 12 日
• 筆記

Wireshark是一款開源的抓包軟體，同時該軟體能夠顯示很多常見的通用協議，是因為內置了常見協議的解析器。

沒錯Wireshark就是依靠解析器來分析各種報文。但是如果遇到一些私有開發的報文，wireshark就沒辦法很好的正常顯示了。

這個時候為了方便理解報文，我們可以嘗試自己構建解析器。下面我們就來理解一下基本操作和舉例。

首先我們檢查一下wireshark的安裝目錄，我們可以發現存在一個叫plugins的文件夾，如下：

進入plugins目錄，你會發現都是由一些dll文件組成。這些就是wireshark預設攜帶的通用解析器。wireshark除了支援dll方式的插件裝載，也支援LUA文件的插件裝載。LUA是一個簡單化輕量級的類似python語言，主要用於可擴展性的程式，wireshark對其有一些些自定義的語法函數規範。一些官方鏈接介紹：

https://wiki.wireshark.org/Lua  

https://www.wireshark.org/docs/wsdg_html_chunked/wsluarm.html  

瑞哥目前也是在嘗試接觸當中，在能力所及的範圍內做了一個關於portal的分析插件。

眾所周知，portal協議並不是全球公認的協議標準，在中國主導是CMCC標準，同時每個廠商都有一些私有化的訂製，各種屬性擴展各有含義和表達方式。在本文的附件中，本人上傳了H3C目前採用的標準做的解析器，主要目的是方便問題的排查和報文的解讀，存在部分欄位暫時值格式問題，不過不妨礙使用理解。

使用方法：把portal.lua放在wireshark安裝目錄下的plugins就可以了

比如D:Program FilesWiresharkplugins。

然後重新啟動wireshark軟體。

安裝完成之後，你就可以通過wireshark去解析portal類型的報文，並且能夠解讀其中的報文含義。當然這隻能用作輔助定位，因為不同廠商的賦值方式可能有所區別。

有能力有興趣的 還可以參考上訴的官方文檔和我的附件插件給其他協議做同樣的類比方法，希望通過這款軟體能更快更準確的幫助一些網路問題的理解。

插件下載地址: https://www.lanzous.com/ia0hmji 密碼:adav