続々 WiresharkのDissectorを使った独自プロトコル解析（TCP,UDP分割パケットの場合）

proto = Proto("udp_div","udp_div")

Ident_F  = ProtoField.new("Ident","Ident",ftypes.UINT16)
DivNo_F  = ProtoField.new("DivNo","DivNo",ftypes.UINT16)
DivMax_F = ProtoField.new("DivMax","DivMax",ftypes.UINT16)
DataSize_F  = ProtoField.new("DataSize","DataSize",ftypes.UINT32)
Data_F   = ProtoField.new("Data","Data",ftypes.STRING)

proto.fields = { Ident_F, DivNo_F, DivMax_F, Size_F ,DataSize_F, Data_F}

-- 初期化処理
function proto.init()
  fragments = {} -- 1パケットずつに分割されたパケットのデータ部を保存するバッファ。各パケット毎に保存する
  concats = {}   -- 分割パケットをマージした本体データを保存するバッファ。DivMax目のパケット処理時に保存する
end

-- Dissector  解析のメイン部分
function proto.dissector(buffer, pinfo, tree)

  local ident_no   = buffer(0,2):uint()    -- Ident識別子
  local division_no  = buffer(2,2):uint()  -- DivNo
  local division_max = buffer(4,2):uint()  -- DivMax

  if pinfo.visited == false then    -- 当該パケットを処理するのが初めての場合
    --注意:このpinfo.visitedで判定しないとWiresharkの画面でパケットをクリックする度処理が動いてしまう
    if division_no == 1 then
      local data_size = buffer(6,4):uint() -- データ本体のトータルサイズ
    end
    local reassembly_byte     -- 組み立て後のデータバイト列

    -- fragmentsを保存するテーブルの枠を生成
    if fragments[ident_no] == nil then
      fragments[ident_no] = {}
    end
    if fragments[ident_no][division_no] == nil then
      fragments[ident_no][division_no] = {}
    end

    -- パケットのUDPデータ部のサイズから先頭の独自ヘッダサイズ(6byte)を除いた部分をfragmentsに記憶
    fragments[ident_no][division_no] = buffer:bytes(6,buffer:len()-6)

    -- 分割パケットの最後なら、分割パケットをまとめたバイト列を生成しconcatsに記憶
    if (division_no == division_max ) then
      -- 保存用バイト列を生成
      reassembly_bytearray = ByteArray.new()
      -- 分割数分処理
      for key, value in ipairs(fragments[ident_no]) do
        -- バイト列をマージ
        reassembly_bytearray:append(value)
      end
      -- 分割数分マージしたバイト列をconcatsに記憶
      concats[pinfo.number] = reassembly_bytearray
      -- 各分割パケットのバイト列を保存したエリアは解放
      fragments[ident_no] = nil
    end
  end

  tree:add(Ident_F,buffer(0,2))    -- Ident表示
  tree:add(DivNo_F,buffer(2,2))    -- DivNo表示
  tree:add(DivMax_F,buffer(4,2))   -- DivMax表示

  -- 分割パケットのまとめがある場合
  if concats[pinfo.number] ~= nil then
    pinfo.cols.info = "merged data"
    buffer1 = concats[pinfo.number]:tvb("merged data")
    tree:add(DataSize_F,buffer1(0,4))     -- Size部分表示
    tree:add(Data_F,buffer1(4,data_size)) -- Size部分以降のデータ本体表示
  end
end

--  Dissectorを使用するUDPポート番号を指定する。
udp_table = DissectorTable.get("udp.port")
udp_table:add(4352, proto)

proto = Proto("udp_div","udp_div")

Ident_F  = ProtoField.new("Ident","Ident",ftypes.UINT16)
DivNo_F  = ProtoField.new("DivNo","DivNo",ftypes.UINT16)
DivMax_F = ProtoField.new("DivMax","DivMax",ftypes.UINT16)
DataSize_F  = ProtoField.new("DataSize","DataSize",ftypes.UINT32)
Data_F   = ProtoField.new("Data","Data",ftypes.STRING)

proto.fields = { Ident_F, DivNo_F, DivMax_F, Size_F ,DataSize_F, Data_F}

-- 初期化処理
function proto.init()
  fragments = {} -- 1パケットずつに分割されたパケットのデータ部を保存するバッファ。各パケット毎に保存する
end

function newtable(table, key)
  if table[key] == nil then
    table[key] = {}
  end
  return table[key]
end

-- Dissector  解析のメイン部分
function proto.dissector(buffer, pinfo, tree)
  local ident_no   = buffer(0,2):uint()    -- Ident識別子
  local division_no  = buffer(2,2):uint()  -- DivNo
  local division_max = buffer(4,2):uint()  -- DivMax
  local s = tostring(pinfo.src) .. ":" .. tostring(pinfo.src_port) .. "@" .. tostring(pinfo.dst) .. ":" .. tostring(pinfo.dst_port)

  tree:add(Ident_F, buffer(0,2))    -- Ident表示
  tree:add(DivNo_F, buffer(2,2))    -- DivNo表示
  tree:add(DivMax_F, buffer(4,2))   -- DivMax表示

  fragment = newtable(fragments, s)
  ident = newtable(fragment, ident_no)
  ident[division_no] = {tree=tree, data=buffer:bytes(6,buffer:len()-6)}

  if #ident == division_max then
    local data = ByteArray.new()
    for i, division in pairs(ident) do
      data:append( division["data"] )
    end
    buffer1 = data:tvb("merged data")
    tree:add(DataSize_F,buffer1(0,4))     -- Size部分表示
    tree:add(Data_F,buffer1(4,data_size)) -- Size部分以降のデータ本体表示
  end
end

--  Dissectorを使用するUDPポート番号を指定する。
udp_table = DissectorTable.get("udp.port")
udp_table:add(4352, proto)