使用我的自定义解剖器点击时，wireshark中的分组数据未突出显示

Question

我正在Lua中编写一个解剖器，用于自定义二进制协议。我定义了三种字段类型：

f.field1= ProtoField.bytes("myproto.field1","Field 1",base.HEX)
f.field2= ProtoField.uint16("myproto.field2","Field 2",base.HEX)
f.field3= ProtoField.bytes("myproto.field3","Field 3",base.HEX)

这些字段将添加到树中，如下所示：

subtree:add(f.field1,buf(offset,4))
offset = offset +4
val2=buf(offset,2):uint()
-- some logic around populating f2_description omitted
offset=offset+2
subtree:add(f.field2,val2):append_text(" (" ..f2_description ..")")
subtree:add(f.field3,buf(offset,2))

现在，当我打开Wireshark并单击解剖数据包树中的Field1或Field3时，我看到所选数据在原始数据包十六进制视图（最下面的面板）中突出显示：

，但Field2的情况并非如此：

我做错了什么？

Answer 1

如果树的第二个参数：add（..，..）是（或至少，直接引用）一个UserData类型值，那么Wireshark解析器会选择正确的字段。

在您的示例中，buf（）是UserData，但val2不是。

尝试一下：

subtree:add(f.field2,buf(offset,2):uint()):append_text(" (" ..f2_description ..")")

另一方面，你不会为ISO8583编写解剖器，对吗？