Lua编写wireshark插件初探——解析Websocket上的MQTT协议

一、背景

最近在做物联网流量分析时发现， App在使用MQTT协议时往往通过SSL+WebSocket+MQTT这种方式与服务器通信，在使用SSL中间人截获数据后，Wireshark不能自动解析出MQTT语义，只能解析到WebSocket层，如图所示。虽然在Data域中显示了去掉mask的WebSocket数据，但分析起来mqtt仍然很难受。所以打算写一个插件，利用wireshark自带的MQTT解析功能来分析Data部分的数据，而不是自己从头写一个完全新的解析器。注：很多教程是教如何添加一个新的协议，如设置协议的属性等，推荐参考【2】，本文主要梳理编写插件的条理。

二、Lua编写wireshark插件基础

 有前辈介绍了用Lua写wireshark插件的基础教程，可以参考文末【1】【2】，这里再以自己的理解总结一下，因为实在没有一个文档让我有从入门到精通的感觉。

1. 首先需要知道解析器（Dissector）和post-dissectors的相关概念【3】

1）解析器（Dissector）是用来被wireshark调用解析数据包或部分数据包的，需要以Proto对象的形式注册后才能被wireshark调用。同时，我们还可以使用wireshark已经自带的解析器，注册一个解析器的例子代码如下所示。

-- trivial protocol example
-- declare our protocol
--trival是协议名字，后面是说明，均需要在wireshark中唯一。

trivial_proto = Proto("trivial","Trivial Protocol")
-- create a function to dissect it
function trivial_proto.dissector(buffer,pinfo,tree)
    pinfo.cols.protocol = "TRIVIAL"
    local subtree = tree:add(trivial_proto,buffer(),"Trivial Protocol Data")
    subtree:add(buffer(0,2),"The first two bytes: " .. buffer(0,2):uint())
    subtree = subtree:add(buffer(2,2),"The next two bytes")
    subtree:add(buffer(2,1),"The 3rd byte: " .. buffer(2,1):uint())
    subtree:add(buffer(3,1),"The 4th byte: " .. buf