Wireshark解析自定义payload及导入码流-CSDN博客

本文链接：https://blog.csdn.net/u011375704/article/details/123735210

本文介绍了如何使用Wireshark解析非标准的payload，通过从HEX转储文件导入和编辑协议配置来处理IP或TCP包。此外，还详细说明了利用text2pcap工具将字符流或码流转换为16进制格式，并解决解析不全问题的方法。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一）wireshark如何解析指定的payload
实际测试中经常遇到此类问题，抓取的报文码流并不是从链路层开始，而是一些载荷协议或者从IP、TCP等开始，这个时候如何想要wireshark直接解析码流，就需要构造伪头部拼成完整报文结构。那有没有不需要这么麻烦，而是直接就可以导入码流进行解析呢，答案是肯定的。

对于常见的场景，比如抓取的IP包或者TCP包，我们可以使用Wireskark:
文件 ---- > 从HEX转储文件导入

这里就可以选择不同的类型，然后导入即可。
但是这里提供的仅仅是常见的一些类型，对于很多自身应用，上层应用层协议各种各样，且有很多自定义的，如果已经有了对应lua插件，此时可以在：
编辑 ----> 首选项 -----> protocols，找到DLT_USER
在这里插入图片描述

pcap格式文件的链路层协议值，空出了几个给我们自己定义映射用的。范围是147~162（定义为：DLT_USER0 ~USER15)，我们可以点击 Edit，新增，设置payload protocol，设置到此结束。

接下来的对导入的码流进行格式化，这里可以使用wireshark自带的工具text2pcap。将字符流或者码流转换为16进制码流格式（也可以其他进制 -o 指定），如：
000000 01 02 03 04 05 06 07 08 09 10 11 12 13 14 15 16 [CR LF]
000010 17 18 [CR LF]
这里码流需要注意下，最好换行符都有，否则有解析不全的问题
执行 text2pcap -l 147 11.txt 11.pcap( 此处-l是指定链路层协议类型，填写我们上面设置的值)

wireshark使用