Come testare un dissettore Wireshark?

Question

Quando scrivi un dissettore per Wireshark, come fai a testarlo? Cercare l'output visivo nell'interfaccia utente non è sufficiente per un protocollo non banale.

Esiste un buon metodo per il test dell'unità del dissettore?

EDIT:

La struttura del frame di protocollo è dinamico. Il dissettore deve in qualche modo interpretare il contenuto.

Ad esempio se il quinto campo è uno, un array di byte segue come sesto campo. Se è due hai un doppio array e se è tre devi aggiungere una stringa terminata da zero.

Questo in genere non avviene mai durante un'acquisizione quotidiana del lavoro. Ecco perché hai bisogno di dati di acquisizione sintetici anche con contenuti "impossibili".

Answer 1

per testare un dissettore Wireshark ho trovato questo utile:

• definire una serie di pacchetti che il dissettore dovrebbero analizzare tra cui pacchetti malformati
• Implementare i pacchetti come un dump esadecimale
• Definire i risultati attesi
• Per ogni pacchetto discarica
  • generare file pcap con text2pcap
  • Eseguire il dissettore con tshark
  • Estrarre il payload dall'uscita PDML di tshark
  • Confrontare l'output XML con l'output XML previsto

Questo può essere migliorata filtrando l'output XML dal il PDML include anche i byte del pacchetto, cosa che può essere fastidiosa se il carico utile è grande e/o complesso.

Il suggerito argomenti per gli eseguibili Wireshark sono

text2pcap -T 1024,9876 foo.txt foo.pcap 
tshark -T pdml -r "foo.pcap" 

Per estrarre l'uscita dissector è utile per usare un'espressione XPath con il XmlNode .NET CLR di classe. Questo può essere fatto in questo modo:

XmlNode output = tsharkOutput.SelectSingleNode("packet/proto[@name='foo']"); 
XmlNodeList refList = referenceDocument.SelectNodes("proto[@name='foo']"); 

Answer 2

Immagino di essere vecchio stile. Lo scopo principale di un dissettore è trasformare i dati in una forma leggibile dall'uomo, quindi ho testato il mio facendo leggere agli umani.

Suppongo che è possibile eseguire più test automatici esportando in txt o pdml da file->export o implementando una sorta di wrapper di test attorno alla DLL del plugin.

Answer 3

È possibile analizzare l'output di tshark.

Answer 4

Solo per l'aggiornamento del post.

Tshark utilizza gli stessi plug-in di Wireshark e li carica nello stesso modo .tshark viene anche utilizzato in questo modo nei test di build Wireshark CI , consultare la directory di test delle origini Wireshark per alcuni esempi di script di prova .
https://code.wireshark.org/review/gitweb?p=wireshark.git;a=tree;f=test
- grahamb.

fonte: https://ask.wireshark.org/questions/36721/tshark-for-plugin-testing