capture_session捕获数据的流程

wireshark中capture_session结构代表了一个捕捉过程。默认情况下，当用户选择网卡启动wireshark的捕获数据帧功能后会启动一个dumpcap子进程，这个子进程在管道上透过一个自定义的协议传递消息给wireshark主程序，这些消息包括了告知主进程捕获文件所在的路径的通知、捕获工作状态变化的通知（例如暂停、停止捕获、发生错误）、新捕获到数据包的通知等等。

（一）初始化捕获会话

在程序启动时调用capture_session_init()函数以初始化其内部基本的成员函数，调用栈如下：

capture_session_init(...)

capture_input_init(capture_session *cap_session, capture_file *cf)

MainWindow::MainWindow(...)

这里传递给capture_input_init()函数的cap_session是一个MainWindow的私有成员，cf是一个全局对象。在capture_session_init()中主要做以下事情：

• 将cap_session->cf置为capture_input_init参数2传入的全局变量。
• 初始化捕获子进程的pid为-1
• 初始化和Pipe有关的fd为-1
• 当前sesseion状态置为CAPTURE_STOPPED
• 捕获封包计数设置为0
• session即将重启的标记设置为FALSE
• 设置几个回调函数，当对应事件发生的时候调用对应的函数。这几个函数都定义在capture.c中。
  • capture_session.new_file=capture_input_new_file
  • capture_session.new_packets=capture_input_new_packets
  • capture_session.drops=capture_input_drops
  • capture_session.error=capture_input_error
  • capture_session.cfilter_error=capture_input_cfilter_error
  • capture_session.closed=capture_input_closed

（二） 启动捕获（capture_start()）

用户选择网卡接口启动捕获时的调用栈如下：

Wireshark.exe!capture_start(...)

Wireshark.exe!MainWindow::startCapture()

在capture_start函数中主要做以下事情：

• 设置会话状态为“捕获准备中”capture_session.state = CAPTURE_PREPARING;
• 重置封包计数capture_session.count = 0；
• 根据capture_options得到临时文件名，并赋予capture_session.cf.source
• 调用sync_pipe_start，在这个函数中：
  • 以capture_options对象为选项设置dumpcap子进程的命令行参数。
  • 创建和dumpcap子进程通信的pipe
  • 在sync_pipe_start中创建dumpcap子进程。
  • 保存子进程句柄到capture_session.fork_child
  • 保存pipe写fd到capture_session.signal_pipe_write_fd
  • 重置子进程exitcode。capture_session.fork_child_status = 0;
  • 保存capture_options对象到capture_session.capture_opts
  • 初始化capture_session.cap_data_info让它指向MainWindow::info_data_，这个数据结构应该是用于统计数据包相关功能的。
  • 调用pipe_input_set_handler，设置管道读取事件的处理函数为sync_pipe_input_cb，以后当有消息从管道获取到的时候将调用它处理。
• 使用wtap_rec_init()函数初始化capture_session.rec，这个缓冲区会在读例程capture_session.new_packets中用到。（用户读取数据包的元数据，后续内容详细说明wtap_rec结构）
• 使用ws_buffer_init()初始化capture_session.buf，并为它申请1514个字节（数据链路帧MTU1500字节+14字节？），这个缓冲区用于存放数据包，会在读例程capture_session.new_packets中用到。

（三）打开数据捕获文件

在执行启动捕获后（在dumpcap子进程启动后），子进程将通过管道发送一条SP_FILE消息（处理过程详情见sync_pipe_input_cb()函数），这条消息携带一个数据捕获文件名，dumpcap子进程会按照约定的格式往这个文件里写入数据包。在处理这个消息时会调用capture_session.new_file方法初始化capture_file结构。

在capture_session.new_file中（通过capture_input_new_file()实现）做以下这些事情：

• 检查