调用wireshark（一）：初次尝试

众所周知，wireshark是一款强大的开源抓包与协议分析工具。wireshark是一个巨大的宝库：通过研究它的协议解析器代码，我们可以加深对协议的理解；通过调用它的导出函数，我们可以在自己的程序中添加协议解析、协议过滤等功能。

这一系列文章就将一步步介绍在Windows平台上如何调用wireshark dll中提供的导出函数。

wireshark导出函数

windows版的wireshark在安装后，在安装根目录下有一个30多MB（视版本不同有所变化）的libwireshark.dll，没错，它就是我们将要调用的dll了。使用Dependency Walker打开它，如下图所示：

红色框标出来的那个函数val_to_str, 我们接下来要用到。

除了从这里查看wireshark的导出函数外，还可以查看 <wireshark源码目录>\epan\libwireshark.def 这个文件，来看特定版本的wireshark导出哪些变量和函数。

环境配置与准备

OK，接下来让我们写一点代码，来调用wireshark提供给我们的val_to_str函数。

调用某个函数前，最好看看它的wireshark源码，以便我们能在自己的代码中声明此函数。比如这个val_to_str，它在<wireshark源码目录>\epan\value_string.h 中声明：

/* Tries to match val against each element in the value_string array vs.
   Returns the associated string ptr on a match.
   Formats val with fmt, and returns the resulting string, on failure. */
extern const gchar* val_to_str(const guint32 val, const value_string *vs, const char *fmt);

那么这个value_string又是什么东东呢？其实它的声明也在这个文件里：

/* Struct for the val_to_str, match_strval_idx, and match_strval functions */

typedef struct _value_string {
  guint32  value;
  const gchar   *strptr;
} value_string;

呵呵，可见val_to_str函数的作用，就是返回value_string数组vs中value为val的项的字符串strptr。如果发生错误，则用fmt格式化val并返回。

我们使用Win32 Console工程。首先必须做一些琐碎的准备工作，比如添加glib和wireshark的一些头文件和库，再比如把libwireshark.dll和它所依赖的各种dll拷贝到你的程序所在目录，随便你怎么做，总之，要让你的程序找得到libwireshark.dll和它的依赖项。比如我设置了：

C/C++ - 常规 - 附加包含目录：
"E:\dev\WiresharkDev1.8.4\gtk+-bundle_2.24.10-2.7_win32ws\include\glib-2.0";
"E:\dev\WiresharkDev1.8.4\gtk+-bundle_2.24.10-2.7_win32ws\lib\glib-2.0\include";
"E:\dev\wireshark-1.8.4"

链接器 - 常规 - 附加库目录
"E:\dev\WiresharkDev1.8.4\gtk+-bundle_2.24.10-2.7_win32ws\lib"

链接器 - 输入 - 附加依赖项
glib-2.0.lib

然后，我把wireshark安装目录下，几乎所有dll拷贝到了我的工程的debug或release目录。

开发代码

其实代码很简单，主要过程就是：

加载libwireshark.dll -> 从DLL实例中获取函数val_to_str的地址 -> 调用val_to_str。

代码如下：

/*
 * 调用wireshark的一个小函数
 *
 * Copyright (c) 2013 赵子清， All rights reserved.
 *
 */


#include <Windows.h>
#include <stdio.h>
#include "epan/value_string.h"


const value_string vs[] =  
{  
    {1, "C++"},  
    {2, "java"},  
    {3, "php"}  
};  

typedef void (*f_emem_init) (void);
typedef void (*f_ep_free_all) (void);  
typedef const gchar* (*f_val_to_str) (guint32 val, const value_string *vs, const char *fmt);  


int main(int argc, char* argv[])  
{  
    HINSTANCE  hDLL;  
    f_emem_init     ws_emem_init;
    f_ep_free_all   ws_ep_free_all;  
    f_val_to_str    ws_val_to_str;  

    hDLL = ::LoadLibrary("libwireshark.dll");  
    if(!hDLL)  
    {  
        printf("Can't load DLL!\n");  
    }  
    else  
    {  
        ws_emem_init = (f_emem_init)::GetProcAddress(hDLL, "emem_init");
        ws_ep_free_all = (f_ep_free_all)::GetProcAddress(hDLL, "ep_free_all");
        ws_val_to_str = (f_val_to_str)::GetProcAddress(hDLL, "val_to_str");  
        if(!hDLL)  
        {  
            ::FreeLibrary(hDLL);  
            printf("Can't get function!\n");  
        }  
        else  
        {  
            const gchar* ret;  
            const gchar* fmt = "item not exist: %d";
            ws_emem_init();
            ret = ws_val_to_str(2, vs, fmt); 
            printf("%s\n", ret);
            ret = ws_val_to_str(9, vs, fmt); 
            printf("%s\n", ret);
            ret = ws_val_to_str(2, NULL, fmt);
            printf("%s\n", ret);
            ws_ep_free_all();
        }  
    }  

    system("PAUSE");  
    return 0;  
}  

有同学可能要问了：不是说好调用val_to_str的吗？为什么还要调用emem_init和ep_free_all？

是这样的，前面提到过，当val_to_str函数各种失败时，它就用fmt格式化val，并返回。而返回的是一个字符串指针，那么它的内存需要由wireshark内部来进行分配，所以，就用到emem_init了，它在wireshark启动时调用一次，初始化内部的内存分配机制。而ep_free_all，好吧，是擦屁股的。。。

写完收工，运行之，如下：