Wireshark物理パケット

Question

wiresharkは物理パケットをどのように解釈しますか？ 私が知る限り、すべてのパケットは同じに見えます。したがって、それらをデコードして次の上位プロトコルに渡す方法はありますか？

Answer 1

ライブトラフィックをキャプチャするために使用される場合、インターフェイスのタイプ、したがってパケットのL2カプセル化が認識され、pcapファイルを読み取るとき、ファイルにはヘッダーにネットワークタイプを示すフィールドがあります。

Answer 2

おそらく、さまざまなメカニズムがあります。ディセクタをダウンロードし、さまざまな方法を見つけるためにソースを調べることができます。

私はネットワークスニファのためのディセクタを書いて、それをEtherealに移植してからWiresharkに移植しました（あるいは誰かがそれを移植しました;私は覚えていません）。しかし、基本的な論理は、解剖学者が可能な解剖学的リストに追加されるということです。 Wiresharkはディセクターを呼び出し、できるだけパケットをデコードします。そうでなければ、チェーン内の次のものを呼び出します。

私が書いたコードでは、単純にパケット（私の状況ではUDP）を分析して、パケット内のチェックサムと既知のデータを使用して、目的のパケットのプロファイルに適合しているかどうかを判断しました。それが私が興味を持ったパケットだと決めたら、パケットから興味深いデータのさまざまな部分を抽出しただけです。関数tvb_get_ptrは、データの先頭へのポインタを返します。