☰

Atributos XML do Wireshark/PCAP explicados

tag-icon • tag-icon wireshark xml pcap
Atributos XML do Wireshark/PCAP explicados

Estou gerando uma saída formatada em XML a partir de um dump do Wireshark usando o seguinte comando:

tshark -r my_wireshark_data.pcap -T pdml > my_wireshark_data.xml

Olhando para o arquivo XML gerado, não consigo entender o significado doposiçãoetamanhoatributos, que aparecem em todos os lugares. Alguém pode explicar ou fornecer um link para a documentação?

Trecho de saída:

<pdml version="0" creator="wireshark/1.10.14" time="Mon Jun 20 15:27:45 2016" capture_file="my_wireshark_data.pcap">
<packet>
  <proto name="ip" ...>
    <field name="ip.version" showname="Version: 4" size="1" pos="14" show="4" value="45"/>
  </proto>
</pdml>

Também:

Por que évalordefinido como 45em vez de 4?

Qual é a diferença entrenome de exibiçãoemostrar?

Responder1

Alguém pode explicar ou fornecer um link para a documentação?

Por que o valor está definido como 45 em vez de 4.

  • value(45) são os dados reais do pacote, em hexadecimal, que este campo cobre

  • show(4) é a representação dos dados do pacote ( value)como apareceria em um filtro de exibição.

Qual é a diferença entre showname e show?

  • shownameé o rótulo usado para descrever este campo na árvore de protocolos.

    Geralmente é o nome descritivo do protocolo, seguido por alguma representação do arquivo value.

  • show(4) é a representação dos dados do pacote ( value)como apareceria em um filtro de exibição.(neste caso, o número da versão)

A <field>etiqueta

As tags " <field>" podem ter os seguintes atributos:

  • name- o nome do filtro de exibição para o campo
  • showname- o rótulo usado para descrever este campo na árvore de protocolos. Geralmente é o nome descritivo do protocolo, seguido por alguma representação do valor.
  • pos- o deslocamento inicial dentro dos dados do pacote onde este campo começa
  • size- o número de octetos nos dados do pacote que este campo cobre.
  • value- os dados reais do pacote, em hexadecimal, que este campo cobre
  • show- a representação dos dados do pacote ('valor') tal como apareceriam em um filtro de exibição.

Alguns dissecadores às vezes colocam texto na árvore de protocolo, sem usar um campo com nome de campo. Eles aparecem no PDML como <field>tags " " sem o atributo 'nome', mas com um atributo 'show' fornecendo esse texto.

FonteDissecção de protocolo em formato XML

informação relacionada