☰

Atributos XML de Wireshark/PCAP explicados

tag-icon • tag-icon wireshark xml pcap
Atributos XML de Wireshark/PCAP explicados

Estoy generando una salida con formato XML a partir de un volcado de Wireshark usando el siguiente comando:

tshark -r my_wireshark_data.pcap -T pdml > my_wireshark_data.xml

Al mirar el archivo XML generado, no puedo entender el significado delposiciónytamañoatributos, que aparecen en todas partes. ¿Alguien puede explicar o proporcionar un enlace a la documentación?

Fragmento de salida:

<pdml version="0" creator="wireshark/1.10.14" time="Mon Jun 20 15:27:45 2016" capture_file="my_wireshark_data.pcap">
<packet>
  <proto name="ip" ...>
    <field name="ip.version" showname="Version: 4" size="1" pos="14" show="4" value="45"/>
  </proto>
</pdml>

También:

Por que esvalor¿Establecido 45en lugar de 4?

Cuál es la diferencia entremostrar nombreyespectáculo?

Respuesta1

¿Alguien puede explicar o proporcionar un enlace a la documentación?

¿Por qué el valor se establece en 45 en lugar de 4?

  • value(45) son los datos del paquete real, en hexadecimal, que cubre este campo

  • show(4) es la representación de los datos del paquete ( value)como aparecería en un filtro de visualización.

¿Cuál es la diferencia entre showname y show?

  • shownamees la etiqueta utilizada para describir este campo en el árbol de protocolo.

    Suele ser el nombre descriptivo del protocolo, seguido de alguna representación del archivo value.

  • show(4) es la representación de los datos del paquete ( value)como aparecería en un filtro de visualización.(en este caso el número de versión)

La <field>etiqueta

Las etiquetas " <field>" pueden tener los siguientes atributos:

  • name- el nombre del filtro de visualización para el campo
  • showname- la etiqueta utilizada para describir este campo en el árbol de protocolo. Suele ser el nombre descriptivo del protocolo, seguido de alguna representación del valor.
  • pos- el desplazamiento inicial dentro de los datos del paquete donde comienza este campo
  • size- el número de octetos del paquete de datos que cubre este campo.
  • value- los datos del paquete real, en hexadecimal, que cubre este campo
  • show- la representación de los datos del paquete ("valor") tal como aparecerían en un filtro de visualización.

Algunos disectores a veces colocan texto en el árbol de protocolos, sin utilizar un campo con un nombre de campo. Aparecen en PDML como " <field>" etiquetas sin atributo 'nombre', pero con un atributo 'mostrar' que proporciona ese texto.

FuenteDisección de protocolo en formato XML

información relacionada