使用tshark和PDML解析网络数据包十六进制字节与层级数据关联

tshark -r input.pcap -T pdml > output.pdml

<pdml version="0" creator="wireshark 3.4.10" time="1678886400">
  <packet>
    <proto name="geninfo" pos="0" len="100">...</proto>
    <proto name="eth" pos="0" len="14">
      <field name="eth.dst" show="ff:ff:ff:ff:ff:ff" size="6" pos="0" value="ffffffffffff"/>
      <field name="eth.src" show="00:00:00:00:00:00" size="6" pos="6" value="000000000000"/>
      <field name="eth.type" show="IPv4 (0x0800)" size="2" pos="12" value="0800"/>
    </proto>
    <proto name="ip" pos="14" len="20">
      <field name="ip.version" show="4" size="1" pos="14" value="4" bits="0000...."/>
      <field name="ip.hdr_len" show="20 bytes (5)" size="1" pos="14" value="5" bits="....0101"/>
      <!-- ... 更多IP层字段 ... -->
    </proto>
    <!-- ... 其他协议层 ... -->
  </packet>
  <!-- ... 更多数据包 ... -->
</pdml>

import xml.etree.ElementTree as ET

def parse_pdml_for_byte_mapping(pdml_file_path):
    """
    解析PDML文件，为每个数据包中的每个十六进制字节创建到其协议层和字段的映射。

    Args:
        pdml_file_path (str): PDML文件的路径。

    Returns:
        list: 一个列表，每个元素代表一个数据包的映射信息。
              每个映射信息是一个字典，键为字节偏移量，值为(协议层名, 字段名, 字段显示值)。
    """
    tree = ET.parse(pdml_file_path)
    root = tree.getroot()

    all_packet_mappings = []

    for packet_elem in root.findall('packet'):
        current_packet_byte_map = {}

        # 遍历所有协议层
        for proto_elem in packet_elem.findall('proto'):
            proto_name = proto_elem.get('name')
            proto_start_pos = int(proto_elem.get('pos'))
            proto_len = int(proto_elem.get('len'))

            # 遍历协议层中的所有字段
            for field_elem in proto_elem.findall('field'):
                field_name = field_elem.get('name')
                field_show_value = field_elem.get('show')
                field_start_pos = int(field_elem.get('pos'))
                field_size = int(field_elem.get('size'))

                # 将字段占据的每个字节映射到其信息
                for i in range(field_size):
                    byte_global_offset = field_start_pos + i
                    current_packet_byte_map[byte_global_offset] = {
                        "proto": proto_name,
                        "field_name": field_name,
                        "field_value": field_show_value
                    }

            # 处理协议层中没有细分字段但仍然占据字节的情况
            # 例如，如果一个协议层有负载，但PDML没有将其细分为字段
            # 我们可以将剩余的字节映射到协议层本身
            # 这是一个简化处理，实际可能需要更复杂的逻辑
            for i in range(proto_len):
                byte_global_offset = proto_start_pos + i
                if byte_global_offset not in current_packet_byte_map:
                    current_packet_byte_map[byte_global_offset] = {
                        "proto": proto_name,
                        "field_name": f"{proto_name} (unparsed byte)",
                        "field_value": "N/A"
                    }

        all_packet_mappings.append(current_packet_byte_map)
    return all_packet_mappings

# 假设已经生成了 output.pdml
# packet_mappings = parse_pdml_for_byte_mapping('output.pdml')

# 示例：如何使用映射
# if packet_mappings:
#     first_packet_map = packet_mappings[0]
#     # 假设我们想知道第一个数据包中偏移量为14的字节代表什么
#     byte_offset_to_check = 14
#     if byte_offset_to_check in first_packet_map:
#         info = first_packet_map[byte_offset_to_check]
#         print(f"字节偏移量 {byte_offset_to_check} 属于协议层 '{info['proto']}', "
#               f"字段 '{info['field_name']}', 值为 '{info['field_value']}'")
#     else:
#         print(f"字节偏移量 {byte_offset_to_check} 未在映射中找到。")