wireshark功能模块分析

1. 简介

2. Wireshark功能模块

下图给出了wireshark功能模块：

a) GTK1/2

处理用户的输入输出显示，源码在gtk目录.

b) Core

核心模块，通过函数调用将其他模块连接在一起，源码在根目录

c) Epan

wireshark Packetage Analyzing，包分析引擎，源码在epan目录

l Protocol-Tree：保存数据包的协议信息，wireshark的协议结构采用树形结构，解析协议报文时只需要从根节点通过函数句柄依次调用各层解析函数即可。

l Dissectors：在epan/dissector目录下，各种协议解码器，支持700+种协议解析，对于每种协议，解码器都能识别出协议字段（field），并显示出字段值（field value）由于网络协议种类很多，为了使协议和协议间层次关系明显，对数据流里的各个层次的协议能够逐层处理，wireshark系统采用了协议树的方式。

l Plugins：一些协议解码器以插件形式实现，源码在plugins目录

l Display-Filters：显示过滤引擎，源码在epan/dfilter目录

d) Capture

捕包引擎，利用libpcap/WinPcap从底层抓取网络数据包，libpcap/WinPcap提供了通用的抓包接口，能从不同类型的网络接口(包括以太网，令牌环网，ATM网等)获取数据包。

e) Wiretap

从文件中读取数据包，支持多种文件格式，源码在wiretap目录

f) Win-/libpcap

Wireshark抓包时依赖的库文件

wireshark功能模块

3. wireshark流程分析

1) 初始化

Wireshark的初始化包括一些全局变量的初始化、协议分析引擎的初始化和Gtk相关初始化，显示Ethereal主窗口，等待用户进一步操作。重点就是Epan模块的初始化。

Epan初始化：

n tvbuff初始化：全局变量tvbuff_mem_chunk指向用memchunk分配的固定大小的空闲内存块，每个内存块是tvbuff_t结构，从空闲内存块中取出后，用来保存原始数据包。

n 协议初始化：

u 全局变量：

l proto_names 

l proto_short_names 

l