☰

Объяснение атрибутов XML Wireshark/PCAP

tag-icon • tag-icon wireshark xml pcap
Объяснение атрибутов XML Wireshark/PCAP

Я генерирую вывод в формате XML из дампа Wireshark с помощью следующей команды:

tshark -r my_wireshark_data.pcap -T pdml > my_wireshark_data.xml

Глядя на созданный XML-файл, я не могу понять значениепозиразмератрибуты, которые появляются везде. Может кто-нибудь объяснить или дать ссылку на документацию?

Фрагмент вывода:

<pdml version="0" creator="wireshark/1.10.14" time="Mon Jun 20 15:27:45 2016" capture_file="my_wireshark_data.pcap">
<packet>
  <proto name="ip" ...>
    <field name="ip.version" showname="Version: 4" size="1" pos="14" show="4" value="45"/>
  </proto>
</pdml>

Также:

Почемуценитьустановить 45вместо 4?

В чем разница междушоуимяипоказывать?

решение1

Может ли кто-нибудь объяснить или дать ссылку на документацию?

Почему установлено значение 45 вместо 4.

  • value(45) — фактические данные пакета в шестнадцатеричном формате, которые охватывает это поле

  • show(4) — это представление пакетных данных ( value)как это будет выглядеть в фильтре отображения.

В чем разница между showname и show?

  • showname— метка, используемая для описания этого поля в дереве протокола.

    Обычно это описательное имя протокола, за которым следует некоторое представление value.

  • show(4) — это представление пакетных данных ( value)как это будет выглядеть в фильтре отображения.(в данном случае номер версии)

Тег " <field>"

Теги " <field>" могут иметь следующие атрибуты:

  • name- имя фильтра отображения для поля
  • showname- метка, используемая для описания этого поля в дереве протоколов. Обычно это описательное имя протокола, за которым следует некоторое представление значения.
  • pos- начальное смещение в пакетных данных, где начинается это поле
  • size- количество октетов в пакетных данных, которые охватывает это поле.
  • value- фактические данные пакета в шестнадцатеричном формате, которые охватывает это поле
  • show- представление данных пакета («значение») в том виде, в котором они будут отображаться в фильтре отображения.

Некоторые диссекторы иногда помещают текст в дерево протокола, не используя поле с именем поля. Они появляются в PDML как <field>теги " " без атрибута 'name', но с атрибутом 'show', дающим этот текст.

ИсточникПротокол анализа в формате XML

Связанный контент