Jak testujesz narzędzie Wireshark?

Question

Kiedy piszesz program do Wiresharka, jak go testujesz? Szukanie wizualnych danych wyjściowych w interfejsie użytkownika nie jest wystarczające dla niezbyt trywialnego protokołu.

Czy istnieje dobry sposób na testowanie jednostkowe urządzenia do cięcia?

Edycja:

struktura ramek protokołu jest dynamiczny. Disektor musi jakoś zinterpretować treść.

Na przykład, jeśli piąte pole jest jedną tablicą bajtów, następuje jako szóste pole. Jeśli masz dwa, masz podwójną tablicę, a jeśli masz trzy, musisz dodać zero zakończony łańcuchem.

Zwykle nie dzieje się to podczas codziennego przechwytywania. Dlatego potrzebujesz syntetycznych danych przechwytywania nawet z "niemożliwymi" treściami.

Answer 1

Aby przetestować Wireshark paraszyta znalazłem to przydatne:

• definiują zestaw pakietów że paraszyta powinna przeanalizować w tym zniekształcone pakiety
• Wdrożenie pakiety jak szesnastkowej
• Definiowanie spodziewanych rezultatów
• Dla każdego pakietu zrzucić
  • Generowanie plików pcap z text2pcap
  • Uruchom paraszyta z tshark
  • Extract ładunek z wyjścia PDML z tshark
  • Porównaj wyjście XML z oczekiwanym wyjściem XML

ten można poprawić poprzez filtrowanie wyjścia XML, ponieważ PDML zawiera także bajty pakietów, co może być denerwujące, jeśli ładunek jest duży i/lub złożony.

Sugerowana argumentów wykonywalnych Wireshark są

text2pcap -T 1024,9876 foo.txt foo.pcap 
tshark -T pdml -r "foo.pcap" 

Aby wyodrębnić wyjście paraszyta warto jest użyć wyrażenia XPath z XmlNode .NET CLR klasy. Można to zrobić, to jest w ten sposób:

XmlNode output = tsharkOutput.SelectSingleNode("packet/proto[@name='foo']"); 
XmlNodeList refList = referenceDocument.SelectNodes("proto[@name='foo']"); 

Answer 2

Chyba jestem staroświecki. Podstawowym zadaniem rozpraszacza jest transformacja danych do postaci czytelnej dla człowieka, więc przetestowałem ją, czytając ją przez ludzi.

Przypuszczam, że można wykonać bardziej zautomatyzowane testowanie, eksportując do txt lub pdml z file->export lub wdrażając jakieś opakowanie testowe wokół biblioteki DLL wtyczki.

Answer 3

Można przeanalizować dane wyjściowe z tshark.

Answer 4

Tylko dla aktualizacji postu.

Tshark używa tych samych wtyczek, co Wireshark, i ładuje je w ten sam sposób: .tshark jest również używany w ten sposób w testach Wireshark CI budowania, zobacz katalog testowy źródeł Wireshark dla niektórych przykładów skryptów testowych .
https://code.wireshark.org/review/gitweb?p=wireshark.git;a=tree;f=test
- grahamb.

źródło: https://ask.wireshark.org/questions/36721/tshark-for-plugin-testing