Altro giro, altro dissector per Wireshark in Lua…

Salve gente.

Nota: è stata rilasciata una versione migliorativa, v1.1!

Ogni tanto per lavoro mi capita di tanto in tanto di dover mettere le mani su un qualche protocollo XML-based. Il fido Wireshark, al solito, si rivela molto utile per cercare di capire il flusso dei dati e, soprattutto, come sono strutturati.

A essere onesti Wireshark include già un suo dissector XML che supporta molti sotto-formati, ma io ne volevo uno personale/personalizzabile che in qualche modo ricostruisse principalmente/solamente la struttura ad albero dei tag XML.

Così me ne sono scritto uno piccolo in Lua, di esempio…

Si tratta di un esempio minimale (come quello precedente), rapido ma non troppo, non validante e che si “fida” piuttosto ingenuamente della corretta struttura XML dei file letti (di solito i protocolli che tratto sono semplici e senza sbavature: in altri termini i file sono sempre almeno well formed).

Per evitare problemi col dissector XML “standard” di Wireshark, ho ribattezzato il mio “xmlstruct“.

Funzionamento

Il funzionamento è abbastanza semplice:

• si definisce il protocollo per il il dissector: per semplicità verranno intercettate le richieste sulla porta 80 TCP;
• viene letto un pacchetto e si cerca di estrarne i tag XML tramite pattern matching. A ciascuno dei tag estratti viene assegnato un numero di livello nell’albero XML, numero che verrà memorizzato in una apposita Lua table di supporto;
• tale procedura consentirà quindi di mostrare i vari tag estratti nel Packet Details pane (il pannello in basso), organizzati gerarchicamente tramite opportuna indentazione.

Devo ammettere che Lua è estremamente limitato quanto a funzioni di libreria ma nonostante ciò è davvero (davvero) un gran bel linguaggio.

Il dissector…dissezionato!

Per usarlo, al solito, basta:

1. creare/copiare il seguente file xmlstruct.lua nella directory di installazione di Wireshark;
2. modificare il file init.lua, anch’esso presente nella directory di installazione di Wireshark, abilitando il supporto a Lua e aggiungendo il riferimento al file xmlstruct.lua;
3. eseguire Wireshark impostando xmlstruct come filtro per i pacchetti.

Nota: sfortunatamente WordPress non supporta ancora Lua quindi niente sintassi correttamente colorata. Sorry…

--[[

  FILE: xml.lua
  AUTHOR: Gian Paolo "JP" Ghilardi
  LICENSE: released under the terms of GPL v2.0 ("only")
  PURPOSE: example of a simple dissector that extracts XML structure
           from packets (for Wireshark, written in Lua)
  VERSION: 1.0  <<< Now superseded by v1.1 >>>

  TESTED ON:
  - Wireshark 1.0.6 on Windows XP SP2 x86-32, Lua 5.1
  - Wireshark 1.0.5 on MacOSX 10.5.6 PPC, Lua 5.1

  REFERENCES:
  [1]: https://www.darkcornersoftware.com/confluence/display/open/Helen+Wireshark+Dissector+Plugin
  [2]: http://www.wireshark.org/docs/wsug_html_chunked/wsluarm.html
  [3]: http://www.lua.org/manual/5.1/manual.html
  [4]: http://wiki.wireshark.org/Lua/Examples

  ]]--

-- protocol declaration
xml_proto = Proto("xmlstruct","XML","Simple XML Dissector (Structure Extractor)")

function xml_proto.dissector(buffer, pinfo, tree)

	local data            -- packet contents (string format)
	local treeItem        -- used in Packet Details pane
	local tagsTreeItem    -- used in Packet Details pane

	local tagLevels = {}  -- lua table (used to keep tag levels)
	local tagCurrLvl = 0; -- current tag level (for indentation)
	local cleanTag        -- current tag (just the tag name!)
	local sPos            -- start position (for pattern matching)
	local ePos            -- end position (for pattern matching)
	local tmp             -- temp string (for pattern matching)

	pinfo.cols.protocol = "XML"
	data     = buffer():string() -- string version of the buffer (that is a TvbRange)

	treeItem = tree:add(xml_proto, buffer(), "Simple XML Dissector")
	treeItem:add(buffer(), "FRAME LEN : " .. tostring(pinfo.caplen))
	treeItem:add(buffer(), "IP SRC    : " .. tostring(pinfo.src))
	treeItem:add(buffer(), "IP DEST   : " .. tostring(pinfo.dst))

	tagsTreeItem = treeItem:add(buffer(), "XML TAGS  :")

	while true do
		sPos, ePos, rawTag = data:find("<([^<>]+)>", ePos)
		if sPos == nil or ePos == nil or rawTag == nil then
			break
		end

		if rawTag:sub(1,1) == "/" then -- if it's a closing tag...
			tagCurrLvl = tagCurrLvl - 1
		else                           -- if it's an opening tag...
			tagCurrLvl = tagCurrLvl + 1
		end

		cleanTag = rawTag:match("(%w+)")

		if tagLevels[cleanTag] == nil then -- if the tag isn't in the table...
			tagLevels[cleanTag] = tagCurrLvl  -- ... insert it with its tree level
		end

		tmp = string.rep("  ", tagLevels[cleanTag]) -- indentation proportional to level
		tagsTreeItem:add(buffer(sPos-1, ePos-sPos+1), tmp .. "<" .. rawTag .. ">")
	end

end

-- get the tcp.port table
tcp_xml_table = DissectorTable.get("tcp.port")

-- register our protocol for handling port 80 in the TCP table
tcp_xml_table:add(80, xml_proto)

Il dissector dal vivo

Il dissector httpex in funzione in MacOSX Leopard 10.5.6 per PPC (Wireshark compilato ed installato tramite Fink). Come test ho scelto questa pagina di esempio da w3schools.com.

Ciau!