Wireshark 中的原始数字数据解释

逆向工程 线鲨
2021-06-29 17:41:55

在 WinHex 中,我可以使用 Data Interpreter 工具查看从当前选定字节开始的数据的数值解释。这大大简化了数据结构的初始分析。

在此处输入图片说明

是否有类似的方法可以在 Wireshark 中快速查找基本类型值,而无需先定义或导出底层数据结构?

1个回答

总之一句话:没有

Wireshark 的设计包括解剖器的基本概念每个解剖器负责根据相应的协议解释字节流,因此,例如,IEEE 802.3 帧会根据该标准中的定义正确分解为其组成部分。

但是,可以(并且鼓励!)编写自己的解析器并将它们贡献给项目,因此可以想象编写一个解析器,以您描述的方式呈现数据。因为典型的解剖器仅以一种方式解释每个字节,所以用于您描述的目的的解剖器必须与通常的略有不同,但并非不可能。

另一种可能性是添加 Lua 扩展。Wireshark 的最新版本包含一个 Lua 解释器,并且 Lua 脚本可以访问底层数据。

虽然我写过解剖器和 Lua 脚本,但我自己的经验更多的是解剖器而不是脚本;出于这个原因,如果我要写它,我可能会尝试将其作为解剖器。

另一种选择是导出特定数据包的原始二进制文件,然后使用 WinHex 或更具体的工具(例如Netzob)来帮助对协议进行逆向工程。