
Responder1
Para cada campo que você deseja adicionar como coluna, a maneira mais fácil é primeiro selecionar o campo, digamos o"Código de Função"como um exemplo. Ao selecioná-lo, você notará que a linha de status na parte inferior da janela do Wireshark mostrará qual é o filtro de exibição do Wireshark para aquele campo e, neste exemplo, será modbus.func_code
. Esta é uma maneira de aprender o filtro de exibição para um determinado campo.
Agora, se você clicar com o botão direito no campo, poderá escolherAplicar como coluna. O campo será adicionado como uma nova coluna. Depois de adicionado, você pode arrastar e soltar o campo em qualquer local de coluna desejado. Você também pode adicionar colunas através do menu principal, mas se adicioná-las desta forma, você terá que saber o nome do filtro de exibição do Wireshark para digitá-lo ao adicioná-lo, o que pode ser feito:Editar -> Preferências -> Colunas -> + -> [Clique duas vezes no título padrão da Nova coluna e renomeie-o, clique duas vezes no tipo de número padrão e escolha Personalizado, clique duas vezes em Campos e digite o filtro de exibição, por exemplo, modbus. código_função].
Se você não sabe o nome do filtro de exibição, pode procurá-lo de pelo menos três maneiras diferentes:
- O WiresharkReferência de filtro de exibiçãolista todos os filtros de exibição e a quais versões do Wireshark cada filtro de exibição se aplica.
- Na GUI do Wireshark: Editar ->Ver -> Internos -> Protocolos Suportados -> Modbus -> [Expandir]
- Você também pode usar
tshark
para exibi-los, por exemplo:
No Windows:
tshark -G fields | findstr "modbus\."
Em *nix:
tshark -G fields | grep "modbus\."
Você pode repetir esse processo para quantos campos desejar. Antes de adicionar campos específicos do modbus às colunas, pode valer a pena primeiro criar um novo"Modbus"profile para que esses campos sejam mostrados apenas como colunas quando você estiver examinando pacotes modbus. Adicione um novo perfil clicando com o botão direito no perfil no canto inferior direito da barra de status e escolhaNovoouGerenciar perfis. Você também pode adicionar um novo perfil através do menu principal:Editar -> Perfis de configuração.
Mencionei tshark
acima; é o equivalente em linha de comando do Wireshark e permite imprimir apenas os campos desejados, então você pode redirecionar essa saída para um arquivo de texto que pode ser importado para outros programas para processamento posterior. Um exemplo:
tshark -r file.pcap -Y "modbus" -T fields -E separator=/t -e frame.number -e modbus.func_code -e modbus.byte_cnt > file.txt
tshark
tem muitas opções, portanto, leia a página de manual para entender melhor como usá-lo.
Se você não estiver usando tshark
, exporte os dados da GUI do Wireshark usando:Arquivo -> Exportar dissecações de pacotes -> Como CSV... -> [Marque/desmarque as opções desejadas, escolha um nome de arquivo e clique em Salvar].
Finalmente, o WiresharkGuia de usuariotambém é uma ótima referência.