「Wiresharkの活用法 その２ 〜専用プロトコルを表示させる〜」

テキストエディタで新規作成したファイルに下記(1)〜(5)を記述します。

(1)

プロトコルの名前をつけます。（今回は“SOFTECH”と“SOFTECH Protocol”）

(2)

パケットを独自に表示させるための関数を宣言します。

(3)

メイン画面のProtocol列に表示させる名称を設定します。（今回は“SOFTECH”）

(4)

パケットを意味のある単位（今回はフィールド単位）でツリー表示させるプロトコルツリーを定義します。
受信データが入った配列（下記ではbuffer）のどこから何バイトを表示させるかで定義します。

(5)

TCPまたはUDPポート番号と�@のプロトコルを紐付けしてWiresharkへ登録します。

「SOFTECH.LUA」ファイルを示します。
上記(1)〜(5)との対応をコメント行（“--”で始まる行）で入れましたのでご確認下さい。
(4)ではヘッダーをフィールド単位に表示させる処理とその他データを1行で表示させる処理を記述しています。実際の表示結果の図3を参照してみて下さい。

-- (1)「SOFTECHプロトコル」の名前を宣言する。プロトコルを選択するときに表示される。
Softech_proto = Proto("SOFTECH", "SOFTECH Protocol")

-- (2)パケットをフィールド単位表示にする関数の宣言。
-- bufferにSOFTECHプロトコルの受信データが入る。
function Softech_proto.dissector(buffer, pinfo, tree)

  --  (3)メイン画面のProtocol列に"SOFTECH"を表示する。
  pinfo.cols.protocol = "SOFTECH"

  --  (4)ここからプロトコルツリーにフィールド単位の表示をする処理
  -- プロトコルツリーに"SOFTECH Protocol Data"を追加する
  subtree = tree:add(Softech_proto, buffer(), "SOFTECH Protocol Data")

  -- "SOFTECH Protocol Data"にプロトコルツリー"Header"を追加する
  -- 表示対象はbuffer[0]から12バイト分。
  subtree2 = subtree:add(buffer(0,12), "Header")
  -- "Header"に各フィールドを追加する。
  --     "1.Flame Length:"の後にbuffer[0]から2バイト分表示させる
  subtree2:add(buffer(0,2), "1.Flame Length:" .. buffer(0,2):uint())
  --     "2.Sorce ID:"の後にbuffer[2]から1バイト分表示させる。
  subtree2:add(buffer(2,1), "2.Sorce ID:" .. buffer(2,1):uint())
  subtree2:add(buffer(3,1), "3.Spare:" .. buffer(3,1):uint())
  subtree2:add(buffer(4,1), "4.Dest  ID:" .. buffer(4,1):uint())
  subtree2:add(buffer(5,1), "5.Spare:" .. buffer(5,1):uint())
  subtree2:add(buffer(6,1), "6.Kind Code:" .. buffer(6,1):uint())
  subtree2:add(buffer(7,1), "7.Flame No:" .. buffer(7,1):uint())

  -- "Header"プロトコルツリーに"8.DateTime"を追加する
  -- 表示対象はbuffer[8]から4バイト分。
  subtree3 = subtree2:add(buffer(8,4), "8.DateTime")
  -- "8.DateTime"に各フィールドを追加する
  --        "8.1.Day:"の後にbuffer[8]から1バイト分表示させる。
  subtree3:add(buffer(8,1), "8.1.Day:" .. buffer(8,1):uint())
  subtree3:add(buffer(9,1), "8.2.Hour:" .. buffer(9,1):uint())
  subtree3:add(buffer(10,1),"8.3.Min:" .. buffer(10,1):uint())
  subtree3:add(buffer(11,1),"8.4.Sec:" .. buffer(11,1):uint())

  -- 「その他データ」があるか調べる。ある場合は1行で表示する。
  --  受信データ長からヘッダー長12を引いてdatalenに入れる
  local datalen = buffer:len() - 12
  -- datalenが0より大きいか？
  if datalen > 0 then
    -- "SOFTECH Protocol Data"に"Kind-specific Data"を追加する
    subtree2 = subtree:add(buffer(12,datalen), "Kind-specific Data" )
    -- "Data"の後にbuffer[12]からdatalenバイト分表示させる。         
    subtree2:add(buffer(12,datalen), "Data:" .. buffer(12,datalen)) 
  end
end

--  (5)TCPポート40000とSOFTECHプロトコルを紐付けしてWiresharkへ登録する。
DissectorTable.get("tcp.port"):add(40000, Softech_proto)

下図2右側の青枠・緑枠のように表示されます。（左側は標準の表示）
パケット表示画面（図3）を開いてLUAファイルに記述したとおりになっていることを確認します。
なお、左側の青枠は「SOFTECH.LUA」の(4)による表示、緑枠は(1)(3)(5)による表示になります。

図2. Wireshark標準の表示（左）と「SOFTECH.LUA」（右）対応後の表示

図3. パケット表示画面でSOFTECHプロトコルのパケットを表示

この場合はWiresharkの起動直後にエラー画面が表示されます。
下図4は「SOFTECH.LUA」の2行目にエラーがあることを示しています。
LUAファイルを修正して再起動します。

図4. Wireshark起動時に表示されるLUAファイルエラー

（2行目“= Proto”の“o”を抜いて“= Prot”にしたファイルで起動したときのエラー表示）

表示フィルターへ「softech」と入力すると下図5のようにSOFTECHプロトコルだけが表示されるようになります。（下図赤枠）

図5. SOFTECHプロトコルの絞り込み表示

また表示フィルターに「Tcp.port==40000」（SOFTECHプロトコルと紐付けたポート番号）を入力するとSOFTECHプロトコルに加えてSYN、ACKなどTCPレベルのパケットを表示出来ます。（下図6オレンジ枠）
これはLUAファイルの効果ではありませんがLUAファイルがあることでProtocol列にTCPとSOFTECHが区別されて表示されます。LUAファイルが無いとすべてTCPと表示されます。

図6. ポート40000の絞り込み表示