Manuels d'utilisation pour Wireshark - 1.9

Table des matières

• Wireshark User's Guide

  1
• Table of Contents

  3
• Preface

  9
  • 1. Foreword

    9
  • 2. Who should read this document?

    9
  • 3. Acknowledgements

    9
  • 4. About this document

    10
  • 5. Where to get the latest copy of this document?

    10
  • 6. Providing feedback about this document

    10
• Chapter 1. Introduction

  11
  • 1.1. What is Wireshark?

    11
    • 1.1.1. Some intended purposes

      11
    • 1.1.2. Features

      11
    • 1.1.3. Live capture from many different network media

      12
    • 1.1.4. Import files from many other capture programs

      12
    • 1.1.5. Export files for many other capture programs

      12
    • 1.1.6. Many protocol decoders

      12
    • 1.1.7. Open Source Software

      13
    • 1.1.8. What Wireshark is not

      13
  • 1.2. System Requirements

    13
    • 1.2.1. General Remarks

      13
    • 1.2.2. Microsoft Windows

      13
    • 1.2.3. Unix / Linux

      14
  • 1.3. Where to get Wireshark?

    15
  • 1.4. A brief history of Wireshark

    15
  • 1.5.  Development and maintenance of Wireshark

    16
  • 1.6. Reporting problems and getting help

    16
    • 1.6.1. Website

      16
    • 1.6.2. Wiki

      16
    • 1.6.3. Q&A Forum

      17
    • 1.6.4. FAQ

      17
    • 1.6.5. Mailing Lists

      17
    • 1.6.6. Reporting Problems

      17
    • 1.6.7. Reporting Crashes on UNIX/Linux platforms

      18
    • 1.6.8. Reporting Crashes on Windows platforms

      19
• Chapter 2. Building and Installing Wireshark

  20
  • 2.1. Introduction

    20
  • 2.2. Obtaining the source and binary distributions

    20
  • 2.3. Before you build Wireshark under UNIX

    21
  • 2.4. Building Wireshark from source under UNIX

    23
  • 2.5. Installing the binaries under UNIX

    24
    • 2.5.1. Installing from rpm's under Red Hat and alike

      24
    • 2.5.2. Installing from deb's under Debian, Ubuntu and other Debian derivatives

      24
    • 2.5.3. Installing from portage under Gentoo Linux

      24
    • 2.5.4. Installing from packages under FreeBSD

      24
  • 2.6. Troubleshooting during the install on Unix

    25
  • 2.7. Building from source under Windows

    25
  • 2.8. Installing Wireshark under Windows

    25
    • 2.8.1. Install Wireshark

      25
      • 2.8.1.1. "Choose Components" page

        26
      • 2.8.1.2. "Additional Tasks" page

        26
      • 2.8.1.3. "Install WinPcap?" page

        26
      • 2.8.1.4. Command line options

        27
    • 2.8.2. Manual WinPcap Installation

      27
    • 2.8.3. Update Wireshark

      28
    • 2.8.4. Update WinPcap

      28
    • 2.8.5. Uninstall Wireshark

      28
    • 2.8.6. Uninstall WinPcap

      28
• Chapter 3. User Interface

  29
  • 3.1. Introduction

    29
  • 3.2. Start Wireshark

    29
  • 3.3. The Main window

    29
    • 3.3.1. Main Window Navigation

      31
  • 3.4. The Menu

    31
  • 3.5. The "File" menu

    32
  • 3.6. The "Edit" menu

    35
  • 3.7. The "View" menu

    37
  • 3.8. The "Go" menu

    41
  • 3.9. The "Capture" menu

    42
  • 3.10. The "Analyze" menu

    43
  • 3.11. The "Statistics" menu

    45
  • 3.12. The "Telephony" menu

    47
  • 3.13. The "Tools" menu

    49
  • 3.14. The "Internals" menu

    49
  • 3.15. The "Help" menu

    50
  • 3.16. The "Main" toolbar

    52
  • 3.17. The "Filter" toolbar

    54
  • 3.18. The "Packet List" pane

    55
  • 3.19. The "Packet Details" pane

    56
  • 3.20. The "Packet Bytes" pane

    56
  • 3.21. The Statusbar

    57
• Chapter 4. Capturing Live Network Data

  59
  • 4.1. Introduction

    59
  • 4.2. Prerequisites

    59
  • 4.3. Start Capturing

    60
  • 4.4. The "Capture Interfaces" dialog box

    60
  • 4.5. The "Capture Options" dialog box

    62
    • 4.5.1. Capture frame

      64
    • 4.5.2. Capture File(s) frame

      64
    • 4.5.3. Stop Capture... frame

      65
    • 4.5.4. Display Options frame

      65
    • 4.5.5. Name Resolution frame

      66
    • 4.5.6. Buttons

      66
  • 4.6. The "Edit Interface Settings" dialog box

    66
  • 4.7. The "Add New Interfaces" dialog box

    69
    • 4.7.1. Add or remove pipes

      70
    • 4.7.2. Add or hide local interfaces

      71
    • 4.7.3. Add or hide remote interfaces

      72
  • 4.8. The "Remote Capture Interfaces" dialog box

    72
    • 4.8.1. Remote Capture Interfaces

      73
    • 4.8.2. Remote Capture Settings

      74
  • 4.9. The "Interface Details" dialog box

    75
  • 4.10. Capture files and file modes

    75
  • 4.11. Link-layer header type

    77
  • 4.12. Filtering while capturing

    77
    • 4.12.1. Automatic Remote Traffic Filtering

      79
  • 4.13. While a Capture is running ...

    79
    • 4.13.1. Stop the running capture

      80
    • 4.13.2. Restart a running capture

      80
• Chapter 5. File Input / Output and Printing

  81
  • 5.1. Introduction

    81
  • 5.2. Open capture files

    81
    • 5.2.1. The "Open Capture File" dialog box

      81
    • 5.2.2. Input File Formats

      83
  • 5.3. Saving captured packets

    84
    • 5.3.1. The "Save Capture File As" dialog box

      85
    • 5.3.2. Output File Formats

      86
  • 5.4. Merging capture files

    87
    • 5.4.1. The "Merge with Capture File" dialog box

      88
  • 5.5. Import text file

    89
    • 5.5.1. The "File import" dialog box

      90
  • 5.6. File Sets

    91
    • 5.6.1. The "List Files" dialog box

      92
  • 5.7. Exporting data

    92
    • 5.7.1. The "Export as Plain Text File" dialog box

      93
    • 5.7.2. The "Export as PostScript File" dialog box

      95
    • 5.7.3. The "Export as CSV (Comma Separated Values) File" dialog box

      97
    • 5.7.4. The "Export as C Arrays (packet bytes) file" dialog box

      97
    • 5.7.5. The "Export as PSML File" dialog box

      97
    • 5.7.6. The "Export as PDML File" dialog box

      99
    • 5.7.7. The "Export selected packet bytes" dialog box

      101
    • 5.7.8. The "Export Objects" dialog box

      103
  • 5.8. Printing packets

    104
    • 5.8.1. The "Print" dialog box

      104
  • 5.9. The Packet Range frame

    105
  • 5.10. The Packet Format frame

    105
• Chapter 6. Working with captured packets

  107
  • 6.1. Viewing packets you have captured

    107
  • 6.2. Pop-up menus

    108
    • 6.2.1. Pop-up menu of the "Packet List" column header

      108
    • 6.2.2. Pop-up menu of the "Packet List" pane

      110
    • 6.2.3. Pop-up menu of the "Packet Details" pane

      112
  • 6.3. Filtering packets while viewing

    114
  • 6.4. Building display filter expressions

    115
    • 6.4.1. Display filter fields

      116
    • 6.4.2. Comparing values

      116
    • 6.4.3. Combining expressions

      117
    • 6.4.4. A common mistake

      118
  • 6.5. The "Filter Expression" dialog box

    119
  • 6.6. Defining and saving filters

    120
  • 6.7. Defining and saving filter macros

    122
  • 6.8. Finding packets

    122
    • 6.8.1. The "Find Packet" dialog box

      122
    • 6.8.2. The "Find Next" command

      123
    • 6.8.3. The "Find Previous" command

      123
  • 6.9. Go to a specific packet

    123
    • 6.9.1. The "Go Back" command

      123
    • 6.9.2. The "Go Forward" command

      123
    • 6.9.3. The "Go to Packet" dialog box

      123
    • 6.9.4. The "Go to Corresponding Packet" command

      123
    • 6.9.5. The "Go to First Packet" command

      124
    • 6.9.6. The "Go to Last Packet" command

      124
  • 6.10. Marking packets

    124
  • 6.11. Ignoring packets

    124
  • 6.12. Time display formats and time references

    125
    • 6.12.1. Packet time referencing

      125
• Chapter 7. Advanced Topics

  127
  • 7.1. Introduction

    127
  • 7.2. Following TCP streams

    127
    • 7.2.1. The "Follow TCP Stream" dialog box

      127
  • 7.3. Expert Infos

    128
    • 7.3.1. Expert Info Entries

      129
      • 7.3.1.1. Severity

        129
      • 7.3.1.2. Group

        129
      • 7.3.1.3. Protocol

        130
      • 7.3.1.4. Summary

        130
    • 7.3.2. "Expert Info" dialog

      130
      • 7.3.2.1. Errors / Warnings / Notes / Chats tabs

        130
      • 7.3.2.2. Details tab

        130
    • 7.3.3. "Colorized" Protocol Details Tree

      130
    • 7.3.4. "Expert" Packet List Column (optional)

      131
  • 7.4. Time Stamps

    131
    • 7.4.1. Wireshark internals

      131
    • 7.4.2. Capture file formats

      132
    • 7.4.3. Accuracy

      132
  • 7.5. Time Zones

    132
    • 7.5.1. Set your computer's time correctly!

      133
    • 7.5.2. Wireshark and Time Zones

      134
  • 7.6. Packet Reassembling

    135
    • 7.6.1. What is it?

      135
    • 7.6.2. How Wireshark handles it

      135
  • 7.7. Name Resolution

    136
    • 7.7.1. Name Resolution drawbacks

      136
    • 7.7.2. Ethernet name resolution (MAC layer)

      137
    • 7.7.3. IP name resolution (network layer)

      137
    • 7.7.4. IPX name resolution (network layer)

      138
    • 7.7.5. TCP/UDP port name resolution (transport layer)

      138
  • 7.8. Checksums

    138
    • 7.8.1. Wireshark checksum validation

      139
    • 7.8.2. Checksum offloading

      139
• Chapter 8. Statistics

  140
  • 8.1. Introduction

    140
  • 8.2. The "Summary" window

    140
  • 8.3. The "Protocol Hierarchy" window

    141
  • 8.4. Conversations

    143
    • 8.4.1. What is a Conversation?

      143
    • 8.4.2. The "Conversations" window

      143
    • 8.4.3. The protocol specific "Conversation List" windows

      144
  • 8.5. Endpoints

    144
    • 8.5.1. What is an Endpoint?

      144
    • 8.5.2. The "Endpoints" window

      145
    • 8.5.3. The protocol specific "Endpoint List" windows

      146
  • 8.6. The "IO Graphs" window

    146
  • 8.7. Service Response Time

    147
    • 8.7.1. The "Service Response Time DCE-RPC" window

      148
  • 8.8. Compare two capture files

    148
  • 8.9. WLAN Traffic Statistics

    150
  • 8.10. The protocol specific statistics windows

    150
• Chapter 9. Telephony

  151
  • 9.1. Introduction

    151
  • 9.2. RTP Analysis

    151
  • 9.3. VoIP Calls

    151
  • 9.4. LTE MAC Traffic Statistics

    152
  • 9.5. LTE RLC Traffic Statistics

    152
  • 9.6. The protocol specific statistics windows

    153
• Chapter 10. Customizing Wireshark

  154
  • 10.1. Introduction

    154
  • 10.2. Start Wireshark from the command line

    154
  • 10.3. Packet colorization

    160
  • 10.4. Control Protocol dissection

    163
    • 10.4.1. The "Enabled Protocols" dialog box

      163
    • 10.4.2. User Specified Decodes

      164
    • 10.4.3. Show User Specified Decodes

      165
  • 10.5. Preferences

    166
    • 10.5.1. Interface Options

      167
  • 10.6. Configuration Profiles

    168
  • 10.7. User Table

    170
  • 10.8. Display Filter Macros

    170
  • 10.9. ESS Category Attributes

    170
  • 10.10. GeoIP Database Paths

    171
  • 10.11. IKEv2 decryption table

    171
  • 10.12. Object Identifiers

    172
  • 10.13. PRES Users Context List

    172
  • 10.14. SCCP users Table

    172
  • 10.15. SMI (MIB and PIB) Modules

    173
  • 10.16. SMI (MIB and PIB) Paths

    173
  • 10.17. SNMP Enterprise Specific Trap Types

    173
  • 10.18. SNMP users Table

    173
  • 10.19. Tektronix K12xx/15 RF5 protocols Table

    174
  • 10.20. User DLTs protocol table

    174
• Chapter 11. Lua Support in Wireshark

  175
  • 11.1. Introduction

    175
  • 11.2. Example of Dissector written in Lua

    175
  • 11.3. Example of Listener written in Lua

    176
  • 11.4. Wireshark's Lua API Reference Manual

    177
  • 11.5.  Saving capture files

    177
    • 11.5.1. Dumper

      177
      • 11.5.1.1. Dumper.new(filename, [filetype], [encap])

        177
        • 11.5.1.1.1. Arguments

          177
        • 11.5.1.1.2. Returns

          177
        • 11.5.1.1.3. Errors

          177
      • 11.5.1.2. dumper:close()

        177
        • 11.5.1.2.1. Errors

          178
      • 11.5.1.3. dumper:flush()

        178
      • 11.5.1.4. dumper:dump(timestamp, pseudoheader, bytearray)

        178
        • 11.5.1.4.1. Arguments

          178
      • 11.5.1.5. dumper:new_for_current([filetype])

        178
        • 11.5.1.5.1. Arguments

          178
        • 11.5.1.5.2. Returns

          178
        • 11.5.1.5.3. Errors

          178
      • 11.5.1.6. dumper:dump_current()

        178
        • 11.5.1.6.1. Errors

          178
    • 11.5.2. PseudoHeader

      178
      • 11.5.2.1. PseudoHeader.none()

        178
        • 11.5.2.1.1. Returns

          178
      • 11.5.2.2. PseudoHeader.eth([fcslen])

        179
        • 11.5.2.2.1. Arguments

          179
        • 11.5.2.2.2. Returns

          179
      • 11.5.2.3. PseudoHeader.atm([aal], [vpi], [vci], [channel], [cells], [aal5u2u], [aal5len])

        179
        • 11.5.2.3.1. Arguments

          179
        • 11.5.2.3.2. Returns

          179
      • 11.5.2.4. PseudoHeader.mtp2()

        179
        • 11.5.2.4.1. Returns

          179
  • 11.6.  Obtaining dissection data

    179
    • 11.6.1. Field

      179
      • 11.6.1.1. Field.new(fieldname)

        179
        • 11.6.1.1.1. Arguments

          180
        • 11.6.1.1.2. Returns

          180
        • 11.6.1.1.3. Errors

          180
      • 11.6.1.2. field:__call()

        180
        • 11.6.1.2.1. Returns

          180
        • 11.6.1.2.2. Errors

          180
    • 11.6.2. FieldInfo

      180
      • 11.6.2.1. fieldinfo:__len()

        180
      • 11.6.2.2. fieldinfo:__unm()

        180
      • 11.6.2.3. fieldinfo:__call()

        180
      • 11.6.2.4. fieldinfo:__tostring()

        180
      • 11.6.2.5. fieldinfo:__eq()

        180
        • 11.6.2.5.1. Errors

          180
      • 11.6.2.6. fieldinfo:__le()

        180
      • 11.6.2.7. fieldinfo:__lt()

        181
        • 11.6.2.7.1. Errors

          181
      • 11.6.2.8. fieldinfo.name

        181
      • 11.6.2.9. fieldinfo.label

        181
      • 11.6.2.10. fieldinfo.value

        181
      • 11.6.2.11. fieldinfo.len

        181
      • 11.6.2.12. fieldinfo.offset

        181
    • 11.6.3. Non Method Functions

      181
      • 11.6.3.1. all_field_infos()

        181
        • 11.6.3.1.1. Errors

          181
  • 11.7.  GUI support

    181
    • 11.7.1. ProgDlg

      181
      • 11.7.1.1. ProgDlg.new([title], [task])

        181
        • 11.7.1.1.1. Arguments

          181
        • 11.7.1.1.2. Returns

          182
      • 11.7.1.2. progdlg:update(progress, [task])

        182
        • 11.7.1.2.1. Arguments

          182
        • 11.7.1.2.2. Errors

          182
      • 11.7.1.3. progdlg:stopped()

        182
        • 11.7.1.3.1. Returns

          182
        • 11.7.1.3.2. Errors

          182
      • 11.7.1.4. progdlg:close()

        182
        • 11.7.1.4.1. Errors

          182
    • 11.7.2. TextWindow

      182
      • 11.7.2.1. TextWindow.new([title])

        182
        • 11.7.2.1.1. Arguments

          182
        • 11.7.2.1.2. Returns

          183
        • 11.7.2.1.3. Errors

          183
      • 11.7.2.2. textwindow:set_atclose(action)

        183
        • 11.7.2.2.1. Arguments

          183
        • 11.7.2.2.2. Returns

          183
        • 11.7.2.2.3. Errors

          183
      • 11.7.2.3. textwindow:set(text)

        183
        • 11.7.2.3.1. Arguments

          183
        • 11.7.2.3.2. Returns

          183
        • 11.7.2.3.3. Errors

          183
      • 11.7.2.4. textwindow:append(text)

        183
        • 11.7.2.4.1. Arguments

          183
        • 11.7.2.4.2. Returns

          183
        • 11.7.2.4.3. Errors

          184
      • 11.7.2.5. textwindow:prepend(text)

        184
        • 11.7.2.5.1. Arguments

          184
        • 11.7.2.5.2. Returns

          184
        • 11.7.2.5.3. Errors

          184
      • 11.7.2.6. textwindow:clear()

        184
        • 11.7.2.6.1. Returns

          184
        • 11.7.2.6.2. Errors

          184
      • 11.7.2.7. textwindow:get_text()

        184
        • 11.7.2.7.1. Returns

          184
        • 11.7.2.7.2. Errors

          184
      • 11.7.2.8. textwindow:set_editable([editable])

        185
        • 11.7.2.8.1. Arguments

          185
        • 11.7.2.8.2. Returns

          185
        • 11.7.2.8.3. Errors

          185
      • 11.7.2.9. textwindow:add_button(label, function)

        185
        • 11.7.2.9.1. Arguments

          185
        • 11.7.2.9.2. Returns

          185
        • 11.7.2.9.3. Errors

          185
    • 11.7.3. Non Method Functions

      185
      • 11.7.3.1. gui_enabled()

        185
        • 11.7.3.1.1. Returns

          185
      • 11.7.3.2. register_menu(name, action, [group])

        186
        • 11.7.3.2.1. Arguments

          186
      • 11.7.3.3. new_dialog(title, action, ...)

        186
        • 11.7.3.3.1. Arguments

          186
        • 11.7.3.3.2. Errors

          186
      • 11.7.3.4. retap_packets()

        186
      • 11.7.3.5. copy_to_clipboard(text)

        186
        • 11.7.3.5.1. Arguments

          186
      • 11.7.3.6. open_capture_file(filename, filter)

        186
        • 11.7.3.6.1. Arguments

          187
      • 11.7.3.7. set_filter(text)

        187
        • 11.7.3.7.1. Arguments

          187
      • 11.7.3.8. set_color_filter_slot(row, text)

        187
        • 11.7.3.8.1. Arguments

          187
      • 11.7.3.9. apply_filter()

        187
      • 11.7.3.10. reload()

        187
      • 11.7.3.11. browser_open_url(url)

        187
        • 11.7.3.11.1. Arguments

          187
      • 11.7.3.12. browser_open_data_file(filename)

        187
        • 11.7.3.12.1. Arguments

          187
  • 11.8.  Post-dissection packet analysis

    187
    • 11.8.1. Listener

      187
      • 11.8.1.1. Listener.new([tap], [filter])

        188
        • 11.8.1.1.1. Arguments

          188
        • 11.8.1.1.2. Returns

          188
        • 11.8.1.1.3. Errors

          188
      • 11.8.1.2. listener:remove()

        188
      • 11.8.1.3. listener.packet

        188
      • 11.8.1.4. listener.draw

        188
      • 11.8.1.5. listener.reset

        188
  • 11.9.  Obtaining packet information

    188
    • 11.9.1. Address

      188
      • 11.9.1.1. Address.ip(hostname)

        188
        • 11.9.1.1.1. Arguments

          188
        • 11.9.1.1.2. Returns

          188
      • 11.9.1.2. address:__tostring()

        189
        • 11.9.1.2.1. Returns

          189
      • 11.9.1.3. address:__eq()

        189
      • 11.9.1.4. address:__le()

        189
      • 11.9.1.5. address:__lt()

        189
    • 11.9.2. Column

      189
      • 11.9.2.1. column:__tostring()

        189
        • 11.9.2.1.1. Returns

          189
      • 11.9.2.2. column:clear()

        189
      • 11.9.2.3. column:set(text)

        189
        • 11.9.2.3.1. Arguments

          189
      • 11.9.2.4. column:append(text)

        189
        • 11.9.2.4.1. Arguments

          189
      • 11.9.2.5. column:preppend(text)

        189
        • 11.9.2.5.1. Arguments

          190
    • 11.9.3. Columns

      190
      • 11.9.3.1. columns:__tostring()

        190
        • 11.9.3.1.1. Returns

          190
      • 11.9.3.2. columns:__newindex(column, text)

        190
        • 11.9.3.2.1. Arguments

          190
    • 11.9.4. NSTime

      190
      • 11.9.4.1. NSTime.new([seconds], [nseconds])

        190
        • 11.9.4.1.1. Arguments

          190
        • 11.9.4.1.2. Returns

          190
      • 11.9.4.2. nstime:__tostring()

        190
        • 11.9.4.2.1. Returns

          190
      • 11.9.4.3. nstime:__add()

        190
      • 11.9.4.4. nstime:__sub()

        190
      • 11.9.4.5. nstime:__unm()

        191
      • 11.9.4.6. nstime:__eq()

        191
        • 11.9.4.6.1. Errors

          191
      • 11.9.4.7. nstime:__le()

        191
        • 11.9.4.7.1. Errors

          191
      • 11.9.4.8. nstime:__lt()

        191
        • 11.9.4.8.1. Errors

          191
      • 11.9.4.9. nstime.secs

        191
      • 11.9.4.10. nstime.nsecs

        191
    • 11.9.5. Pinfo

      191
      • 11.9.5.1. pinfo.number

        191
      • 11.9.5.2. pinfo.len

        191
      • 11.9.5.3. pinfo.caplen

        191
      • 11.9.5.4. pinfo.abs_ts

        192
      • 11.9.5.5. pinfo.rel_ts

        192
      • 11.9.5.6. pinfo.delta_ts

        192
      • 11.9.5.7. pinfo.delta_dis_ts

        192
      • 11.9.5.8. pinfo.visited

        192
      • 11.9.5.9. pinfo.src

        192
      • 11.9.5.10. pinfo.dst

        192
      • 11.9.5.11. pinfo.lo

        192
      • 11.9.5.12. pinfo.hi

        192
      • 11.9.5.13. pinfo.dl_src

        192
      • 11.9.5.14. pinfo.dl_dst

        192
      • 11.9.5.15. pinfo.net_src

        192
      • 11.9.5.16. pinfo.net_dst

        192
      • 11.9.5.17. pinfo.ptype

        193
      • 11.9.5.18. pinfo.src_port

        193
      • 11.9.5.19. pinfo.dst_port

        193
      • 11.9.5.20. pinfo.ipproto

        193
      • 11.9.5.21. pinfo.circuit_id

        193
      • 11.9.5.22. pinfo.match

        193
      • 11.9.5.23. pinfo.curr_proto

        193
      • 11.9.5.24. pinfo.columns

        193
      • 11.9.5.25. pinfo.cols

        193
      • 11.9.5.26. pinfo.desegment_len

        193
      • 11.9.5.27. pinfo.desegment_offset

        193
      • 11.9.5.28. pinfo.private_data

        193
      • 11.9.5.29. pinfo.private

        193
      • 11.9.5.30. pinfo.ethertype

        194
      • 11.9.5.31. pinfo.fragmented

        194
      • 11.9.5.32. pinfo.in_error_pkt

        194
      • 11.9.5.33. pinfo.match_uint

        194
      • 11.9.5.34. pinfo.match_string

        194
    • 11.9.6. PrivateTable

      194
      • 11.9.6.1. privatetable:__tostring()

        194
        • 11.9.6.1.1. Returns

          194
  • 11.10.  Functions for writing dissectors

    194
    • 11.10.1. Dissector

      194
      • 11.10.1.1. Dissector.get(name)

        194
        • 11.10.1.1.1. Arguments

          194
        • 11.10.1.1.2. Returns

          194
      • 11.10.1.2. dissector:call(tvb, pinfo, tree)

        194
        • 11.10.1.2.1. Arguments

          195
    • 11.10.2. DissectorTable

      195
      • 11.10.2.1. DissectorTable.new(tablename, [uiname], [type], [base])

        195
        • 11.10.2.1.1. Arguments

          195
        • 11.10.2.1.2. Returns

          195
      • 11.10.2.2. DissectorTable.get(tablename)

        195
        • 11.10.2.2.1. Arguments

          195
        • 11.10.2.2.2. Returns

          195
      • 11.10.2.3. dissectortable:add(pattern, dissector)

        195
        • 11.10.2.3.1. Arguments

          195
      • 11.10.2.4. dissectortable:remove(pattern, dissector)

        196
        • 11.10.2.4.1. Arguments

          196
      • 11.10.2.5. dissectortable:try(pattern, tvb, pinfo, tree)

        196
        • 11.10.2.5.1. Arguments

          196
      • 11.10.2.6. dissectortable:get_dissector(pattern)

        196
        • 11.10.2.6.1. Arguments

          196
        • 11.10.2.6.2. Returns

          196
    • 11.10.3. Pref

      196
      • 11.10.3.1. Pref.bool(label, default, descr)

        196
        • 11.10.3.1.1. Arguments

          196
      • 11.10.3.2. Pref.uint(label, default, descr)

        197
        • 11.10.3.2.1. Arguments

          197
      • 11.10.3.3. Pref.string(label, default, descr)

        197
        • 11.10.3.3.1. Arguments

          197
      • 11.10.3.4. Pref.enum(label, default, descr, enum, radio)

        197
        • 11.10.3.4.1. Arguments

          197
      • 11.10.3.5. Pref.range(label, default, descr, max)

        197
        • 11.10.3.5.1. Arguments

          197
      • 11.10.3.6. Pref.statictext(label, descr)

        197
        • 11.10.3.6.1. Arguments

          198
    • 11.10.4. Prefs

      198
      • 11.10.4.1. prefs:__newindex(name, pref)

        198
        • 11.10.4.1.1. Arguments

          198
        • 11.10.4.1.2. Errors

          198
      • 11.10.4.2. prefs:__index(name)

        198
        • 11.10.4.2.1. Arguments

          198
        • 11.10.4.2.2. Returns

          198
        • 11.10.4.2.3. Errors

          198
    • 11.10.5. Proto

      198
      • 11.10.5.1. Proto.new(name, desc)

        198
        • 11.10.5.1.1. Arguments

          198
        • 11.10.5.1.2. Returns

          198
      • 11.10.5.2. proto.dissector

        199
      • 11.10.5.3. proto.fields

        199
      • 11.10.5.4. proto.prefs

        199
      • 11.10.5.5. proto.init

        199
      • 11.10.5.6. proto.name

        199
      • 11.10.5.7. proto.description

        199
    • 11.10.6. ProtoField

      199
      • 11.10.6.1. ProtoField.new(name, abbr, type, [voidstring], [base], [mask], [descr])

        199
        • 11.10.6.1.1. Arguments

          199
        • 11.10.6.1.2. Returns

          200
      • 11.10.6.2. ProtoField.uint8(abbr, [name], [base], [valuestring], [mask], [desc])

        200
        • 11.10.6.2.1. Arguments

          200
        • 11.10.6.2.2. Returns

          200
      • 11.10.6.3. ProtoField.uint16(abbr, [name], [base], [valuestring], [mask], [desc])

        200
        • 11.10.6.3.1. Arguments

          200
        • 11.10.6.3.2. Returns

          200
      • 11.10.6.4. ProtoField.uint24(abbr, [name], [base], [valuestring], [mask], [desc])

        200
        • 11.10.6.4.1. Arguments

          200
        • 11.10.6.4.2. Returns

          201
      • 11.10.6.5. ProtoField.uint32(abbr, [name], [base], [valuestring], [mask], [desc])

        201
        • 11.10.6.5.1. Arguments

          201
        • 11.10.6.5.2. Returns

          201
      • 11.10.6.6. ProtoField.uint64(abbr, [name], [base], [valuestring], [mask], [desc])

        201
        • 11.10.6.6.1. Arguments

          201
        • 11.10.6.6.2. Returns

          201
      • 11.10.6.7. ProtoField.int8(abbr, [name], [base], [valuestring], [mask], [desc])

        202
        • 11.10.6.7.1. Arguments

          202
        • 11.10.6.7.2. Returns

          202
      • 11.10.6.8. ProtoField.int16(abbr, [name], [base], [valuestring], [mask], [desc])

        202
        • 11.10.6.8.1. Arguments

          202
        • 11.10.6.8.2. Returns

          202
      • 11.10.6.9. ProtoField.int24(abbr, [name], [base], [valuestring], [mask], [desc])

        202
        • 11.10.6.9.1. Arguments

          202
        • 11.10.6.9.2. Returns

          203
      • 11.10.6.10. ProtoField.int32(abbr, [name], [base], [valuestring], [mask], [desc])

        203
        • 11.10.6.10.1. Arguments

          203
        • 11.10.6.10.2. Returns

          203
      • 11.10.6.11. ProtoField.int64(abbr, [name], [base], [valuestring], [mask], [desc])

        203
        • 11.10.6.11.1. Arguments

          203
        • 11.10.6.11.2. Returns

          203
      • 11.10.6.12. ProtoField.framenum(abbr, [name], [base], [valuestring], [mask], [desc])

        203
        • 11.10.6.12.1. Arguments

          204
        • 11.10.6.12.2. Returns

          204
      • 11.10.6.13. ProtoField.bool(abbr, [name], [display], [string], [mask], [desc])

        204
        • 11.10.6.13.1. Arguments

          204
        • 11.10.6.13.2. Returns

          204
      • 11.10.6.14. ProtoField.absolute_time(abbr, [name], [base], [desc])

        204
        • 11.10.6.14.1. Arguments

          204
        • 11.10.6.14.2. Returns

          204
      • 11.10.6.15. ProtoField.relative_time(abbr, [name], [desc])

        205
        • 11.10.6.15.1. Arguments

          205
        • 11.10.6.15.2. Returns

          205
      • 11.10.6.16. ProtoField.ipv4(abbr, [name], [desc])

        205
        • 11.10.6.16.1. Arguments

          205
        • 11.10.6.16.2. Returns

          205
      • 11.10.6.17. ProtoField.ipv6(abbr, [name], [desc])

        205
        • 11.10.6.17.1. Arguments

          205
        • 11.10.6.17.2. Returns

          205
      • 11.10.6.18. ProtoField.ether(abbr, [name], [desc])

        205
        • 11.10.6.18.1. Arguments

          205
        • 11.10.6.18.2. Returns

          205
      • 11.10.6.19. ProtoField.float(abbr, [name], [desc])

        206
        • 11.10.6.19.1. Arguments

          206
        • 11.10.6.19.2. Returns

          206
      • 11.10.6.20. ProtoField.double(abbr, [name], [desc])

        206
        • 11.10.6.20.1. Arguments

          206
        • 11.10.6.20.2. Returns

          206
      • 11.10.6.21. ProtoField.string(abbr, [name], [desc])

        206
        • 11.10.6.21.1. Arguments

          206
        • 11.10.6.21.2. Returns

          206
      • 11.10.6.22. ProtoField.stringz(abbr, [name], [desc])

        206
        • 11.10.6.22.1. Arguments

          206
        • 11.10.6.22.2. Returns

          206
      • 11.10.6.23. ProtoField.bytes(abbr, [name], [desc])

        207
        • 11.10.6.23.1. Arguments

          207
        • 11.10.6.23.2. Returns

          207
      • 11.10.6.24. ProtoField.ubytes(abbr, [name], [desc])

        207
        • 11.10.6.24.1. Arguments

          207
        • 11.10.6.24.2. Returns

          207
      • 11.10.6.25. ProtoField.guid(abbr, [name], [desc])

        207
        • 11.10.6.25.1. Arguments

          207
        • 11.10.6.25.2. Returns

          207
      • 11.10.6.26. ProtoField.oid(abbr, [name], [desc])

        207
        • 11.10.6.26.1. Arguments

          207
        • 11.10.6.26.2. Returns

          207
      • 11.10.6.27. ProtoField.bool(abbr, [name], [desc])

        208
        • 11.10.6.27.1. Arguments

          208
        • 11.10.6.27.2. Returns

          208
      • 11.10.6.28. protofield:__tostring()

        208
    • 11.10.7. Non Method Functions

      208
      • 11.10.7.1. register_postdissector(proto)

        208
        • 11.10.7.1.1. Arguments

          208
  • 11.11.  Adding information to the dissection tree

    208
    • 11.11.1. TreeItem

      208
      • 11.11.1.1. treeitem:add_packet_field()

        208
      • 11.11.1.2. treeitem:add()

        208
        • 11.11.1.2.1. Returns

          208
      • 11.11.1.3. treeitem:add_le()

        209
        • 11.11.1.3.1. Returns

          209
      • 11.11.1.4. treeitem:set_text(text)

        209
        • 11.11.1.4.1. Arguments

          209
      • 11.11.1.5. treeitem:append_text(text)

        209
        • 11.11.1.5.1. Arguments

          209
      • 11.11.1.6. treeitem:set_expert_flags([group], [severity])

        209
        • 11.11.1.6.1. Arguments

          209
      • 11.11.1.7. treeitem:add_expert_info([group], [severity], [text])

        209
        • 11.11.1.7.1. Arguments

          209
      • 11.11.1.8. treeitem:set_generated()

        209
      • 11.11.1.9. treeitem:set_hidden()

        210
      • 11.11.1.10. treeitem:set_len(len)

        210
        • 11.11.1.10.1. Arguments

          210
  • 11.12.  Functions for handling packet data

    210
    • 11.12.1. ByteArray

      210
      • 11.12.1.1. ByteArray.new([hexbytes])

        210
        • 11.12.1.1.1. Arguments

          210
        • 11.12.1.1.2. Returns

          210
      • 11.12.1.2. bytearray:__concat(first, second)

        210
        • 11.12.1.2.1. Arguments

          210
        • 11.12.1.2.2. Returns

          210
        • 11.12.1.2.3. Errors

          210
      • 11.12.1.3. bytearray:prepend(prepended)

        210
        • 11.12.1.3.1. Arguments

          210
        • 11.12.1.3.2. Errors

          211
      • 11.12.1.4. bytearray:append(appended)

        211
        • 11.12.1.4.1. Arguments

          211
        • 11.12.1.4.2. Errors

          211
      • 11.12.1.5. bytearray:set_size(size)

        211
        • 11.12.1.5.1. Arguments

          211
        • 11.12.1.5.2. Errors

          211
      • 11.12.1.6. bytearray:set_index(index, value)

        211
        • 11.12.1.6.1. Arguments

          211
      • 11.12.1.7. bytearray:get_index(index)

        211
        • 11.12.1.7.1. Arguments

          211
        • 11.12.1.7.2. Returns

          211
      • 11.12.1.8. bytearray:len()

        211
        • 11.12.1.8.1. Returns

          212
      • 11.12.1.9. bytearray:subset(offset, length)

        212
        • 11.12.1.9.1. Arguments

          212
        • 11.12.1.9.2. Returns

          212
    • 11.12.2. Int

      212
    • 11.12.3. Tvb

      212
      • 11.12.3.1. ByteArray.tvb(name)

        212
        • 11.12.3.1.1. Arguments

          212
        • 11.12.3.1.2. Returns

          212
      • 11.12.3.2. TvbRange.tvb(range)

        212
        • 11.12.3.2.1. Arguments

          212
      • 11.12.3.3. tvb:__tostring()

        213
        • 11.12.3.3.1. Returns

          213
      • 11.12.3.4. tvb:reported_len()

        213
        • 11.12.3.4.1. Returns

          213
      • 11.12.3.5. tvb:len()

        213
        • 11.12.3.5.1. Returns

          213
      • 11.12.3.6. tvb:reported_length_remaining()

        213
        • 11.12.3.6.1. Returns

          213
      • 11.12.3.7. tvb:offset()

        213
        • 11.12.3.7.1. Returns

          213
      • 11.12.3.8. tvb:__call()

        213
      • 11.12.3.9. wslua:__concat()

        213
    • 11.12.4. TvbRange

      213
      • 11.12.4.1. tvb:range([offset], [length])

        214
        • 11.12.4.1.1. Arguments

          214
        • 11.12.4.1.2. Returns

          214
      • 11.12.4.2. tvbrange:uint()

        214
        • 11.12.4.2.1. Returns

          214
      • 11.12.4.3. tvbrange:le_uint()

        214
        • 11.12.4.3.1. Returns

          214
      • 11.12.4.4. tvbrange:uint64()

        214
      • 11.12.4.5. tvbrange:le_uint64()

        214
      • 11.12.4.6. tvbrange:int()

        214
        • 11.12.4.6.1. Returns

          214
      • 11.12.4.7. tvbrange:le_int()

        214
        • 11.12.4.7.1. Returns

          214
      • 11.12.4.8. tvbrange:int64()

        215
      • 11.12.4.9. tvbrange:le_int64()

        215
      • 11.12.4.10. tvbrange:float()

        215
        • 11.12.4.10.1. Returns

          215
      • 11.12.4.11. tvbrange:le_float()

        215
        • 11.12.4.11.1. Returns

          215
      • 11.12.4.12. tvbrange:ipv4()

        215
        • 11.12.4.12.1. Returns

          215
      • 11.12.4.13. tvbrange:le_ipv4()

        215
        • 11.12.4.13.1. Returns

          215
      • 11.12.4.14. tvbrange:ether()

        215
        • 11.12.4.14.1. Returns

          215
        • 11.12.4.14.2. Errors

          215
      • 11.12.4.15. tvbrange:nstime()

        216
        • 11.12.4.15.1. Returns

          216
        • 11.12.4.15.2. Errors

          216
      • 11.12.4.16. tvbrange:le_nstime()

        216
        • 11.12.4.16.1. Returns

          216
        • 11.12.4.16.2. Errors

          216
      • 11.12.4.17. tvbrange:string()

        216
        • 11.12.4.17.1. Returns

          216
      • 11.12.4.18. tvbrange:ustring()

        216
        • 11.12.4.18.1. Returns

          216
      • 11.12.4.19. tvbrange:le_ustring()

        216
        • 11.12.4.19.1. Returns

          216
      • 11.12.4.20. tvbrange:stringz()

        216
        • 11.12.4.20.1. Returns

          216
      • 11.12.4.21. tvbrange:ustringz()

        217
        • 11.12.4.21.1. Returns

          217
      • 11.12.4.22. tvbrange:le_ustringz()

        217
        • 11.12.4.22.1. Returns

          217
      • 11.12.4.23. tvbrange:bytes()

        217
        • 11.12.4.23.1. Returns

          217
      • 11.12.4.24. tvbrange:bitfield([position], [length])

        217
        • 11.12.4.24.1. Arguments

          217
        • 11.12.4.24.2. Returns

          217
      • 11.12.4.25. tvbrange:range([offset], [length])

        217
        • 11.12.4.25.1. Arguments

          217
        • 11.12.4.25.2. Returns

          217
      • 11.12.4.26. tvbrange:len()

        217
      • 11.12.4.27. tvbrange:offset()

        218
      • 11.12.4.28. tvbrange:__tostring()

        218
    • 11.12.5. UInt

      218
  • 11.13.  Utility Functions

    218
    • 11.13.1. Dir

      218
      • 11.13.1.1. Dir.open(pathname, [extension])

        218
        • 11.13.1.1.1. Arguments

          218
        • 11.13.1.1.2. Returns

          218
      • 11.13.1.2. dir:__call()

        218
      • 11.13.1.3. dir:close()

        218
    • 11.13.2. Non Method Functions

      218
      • 11.13.2.1. get_version()

        218
        • 11.13.2.1.1. Returns

          218
      • 11.13.2.2. format_date(timestamp)

        219
        • 11.13.2.2.1. Arguments

          219
        • 11.13.2.2.2. Returns

          219
      • 11.13.2.3. format_time(timestamp)

        219
        • 11.13.2.3.1. Arguments

          219
        • 11.13.2.3.2. Returns

          219
      • 11.13.2.4. report_failure(text)

        219
        • 11.13.2.4.1. Arguments

          219
      • 11.13.2.5. critical(...)

        219
        • 11.13.2.5.1. Arguments

          219
      • 11.13.2.6. warn(...)

        219
        • 11.13.2.6.1. Arguments

          219
      • 11.13.2.7. message(...)

        219
        • 11.13.2.7.1. Arguments

          219
      • 11.13.2.8. info(...)

        220
        • 11.13.2.8.1. Arguments

          220
      • 11.13.2.9. debug(...)

        220
        • 11.13.2.9.1. Arguments

          220
      • 11.13.2.10. loadfile(filename)

        220
        • 11.13.2.10.1. Arguments

          220
      • 11.13.2.11. dofile(filename)

        220
        • 11.13.2.11.1. Arguments

          220
      • 11.13.2.12. persconffile_path([filename])

        220
        • 11.13.2.12.1. Arguments

          220
        • 11.13.2.12.2. Returns

          220
      • 11.13.2.13. datafile_path([filename])

        220
        • 11.13.2.13.1. Arguments

          220
        • 11.13.2.13.2. Returns

          220
      • 11.13.2.14. register_stat_cmd_arg(argument, [action])

        221
        • 11.13.2.14.1. Arguments

          221
• Appendix A. Files and Folders

  222
  • A.1. Capture Files

    222
    • A.1.1. Libpcap File Contents

      222
    • A.1.2. Not Saved in the Capture File

      222
  • A.2. Configuration Files and Folders

    223
    • A.2.1. Protocol help configuration

      227
  • A.3. Windows folders

    229
    • A.3.1. Windows profiles

      229
    • A.3.2. Windows 7, Vista, XP, 2000, and NT roaming profiles

      230
    • A.3.3. Windows temporary folder

      230
• Appendix B. Protocols and Protocol Fields

  231
• Appendix C. Wireshark Messages

  232
  • C.1. Packet List Messages

    232
    • C.1.1. [Malformed Packet]

      232
    • C.1.2. [Packet size limited during capture]

      232
  • C.2. Packet Details Messages

    232
    • C.2.1. [Response in frame: 123]

      232
    • C.2.2. [Request in frame: 123]

      232
    • C.2.3. [Time from request: 0.123 seconds]

      233
    • C.2.4. [Stream setup by PROTOCOL (frame 123)]

      233
• Appendix D. Related command line tools

  234
  • D.1. Introduction

    234
  • D.2. tshark: Terminal-based Wireshark

    234
  • D.3. tcpdump: Capturing with tcpdump for viewing with Wireshark

    236
  • D.4. dumpcap: Capturing with dumpcap for viewing with Wireshark

    236
  • D.5. capinfos: Print information about capture files

    237
  • D.6. rawshark: Dump and analyze network traffic.

    239
  • D.7. editcap: Edit capture files

    239
  • D.8. mergecap: Merging multiple capture files into one

    243
  • D.9. text2pcap: Converting ASCII hexdumps to network captures

    245
  • D.10. idl2wrs: Creating dissectors from CORBA IDL files

    247
    • D.10.1. What is it?

      247
    • D.10.2. Why do this?

      247
    • D.10.3. How to use idl2wrs

      247
    • D.10.4. TODO

      249
    • D.10.5. Limitations

      249
    • D.10.6. Notes

      249
• Appendix E. This Document's License (GPL)

  250