atributos Wireshark / PCAP XML explicados

Question

Estou gerando uma saída formatada em XML a partir de um dump do Wireshark usando o seguinte comando:

tshark -r my_wireshark_data.pcap -T pdml > my_wireshark_data.xml

Olhando para o arquivo XML gerado, não consigo descobrir o significado dos atributos pos e tamanho , que aparecem em todos os lugares. Alguém pode explicar ou fornecer um link para documentação?

Snippet de saída:

<pdml version="0" creator="wireshark/1.10.14" time="Mon Jun 20 15:27:45 2016" capture_file="my_wireshark_data.pcap">
<packet>
  <proto name="ip" ...>
    <field name="ip.version" showname="Version: 4" size="1" pos="14" show="4" value="45"/>
  </proto>
</pdml>

Além disso:

Por que o valor está definido como 45 em vez de 4 ?

Qual é a diferença entre o showname e o show ?

    

Answer 1

Alguém pode explicar ou fornecer um link para documentação?

Why is value set to 45 instead of 4.

• value (45) são os dados reais do pacote, em hexadecimal, que esse campo cobre

• show (4) é a representação dos dados de pacote ( value ) como apareceria em um filtro de exibição.

What is the difference between showname and show?

• showname é o rótulo usado para descrever esse campo na árvore de protocolos.

  Este é geralmente o nome descritivo do protocolo, seguido por alguma representação do value .

• show (4) é a representação dos dados do pacote ( value ) como apareceria em um filtro de exibição. (nesse caso, o número da versão)

The "<field>" tag

"<field>" tags can have the following attributes:

• name - the display filter name for the field
• showname - the label used to describe this field in the protocol tree. This is usually the descriptive name of the protocol, followed by some representation of the value.
• pos - the starting offset within the packet data where this field starts
• size - the number of octets in the packet data that this field covers.
• value - the actual packet data, in hex, that this field covers
• show - the representation of the packet data ('value') as it would appear in a display filter.

Some dissectors sometimes place text into the protocol tree, without using a field with a field-name. Those appear in PDML as "<field>" tags with no 'name' attribute, but with a 'show' attribute giving that text.

Fonte Protocolo de dissecação no formato XML