Поиск строки Unicode (UTF-16) в файле PCap, захваченном WireShark

Я пытаюсь найти строку в файле Pcap, захваченном инструментом Wireshark. Вся строка с/на сервер sql форматируется как строка Unicode (UTF-16).

Когда кадр содержит строку Unicode, такую ​​как «выбрать», она отображается как «выбрать», пробел между символами — нулевой символ \x00.

В случае использования следующего фильтра отображения:

  frame contains "s e l e c t"

кадры не фильтруются.

поэтому мне нужно вручную преобразовать строку «выбрать» в шестнадцатеричное десятичное число и запустить фильтр отображения:

  frame contains 73:00:65:00:6c:00:65:00:63:00:74:00

и это работает.

Кроме того, я попытался использовать инструмент поиска (на панели инструментов), выбрал «Широкий» (UTF-16) и ввел «выбрать», но не смог найти строку.

Я использую WireShark v 2.2.0 пример данных

  • Есть ли простой способ фильтрации строки Unicode напрямую вместо преобразования строки в шестнадцатеричную строку.
  • Что я должен ввести в инструмент поиска при выборе текстового поля Wide (UTF-16) для поиска строки ASCII, например. "выбрать", но как строку Unicode

wireshark packet-capture packet unicode-string
person M.Hassan    schedule 16.09.2016    source источник

Ответы (1)


arrow_upward
2
arrow_downward

В. Есть ли простой способ отфильтровать строку Unicode напрямую вместо преобразования строки в шестнадцатеричную строку

Оператор «matches» позволяет применить фильтр к Perl-совместимому регулярному выражению (PCRE).

Для слова "выбрать" фильтр отображения будет таким:

  frame matches "s.e.l.e.c.t"

Точка здесь обозначает любой символ, в нашем случае это символ \x00

для нечувствительных к регистру, таких как Select , SELECT :

   frame matches "(?i)s.e.l.e.c.t"

(?i) выполняет сопоставление с образцом без учета регистра.

В. Что я должен ввести в инструмент поиска при выборе текстового поля Wide (UTF-16) для поиска строки ASCII, например. "выбрать", но как строку Unicode

Нажмите «Найти инструмент» на панели инструментов, в раскрывающемся списке выберите следующее:

Выберите «Пакетные байты» => выберите «Узкий и широкий» => выберите «Строка».

Введите слово для поиска, например. "выбрать" в текстовом поле.

Если слово существует, вы найдете данные кадра в области «Упаковать байты».

person M.Hassan    schedule 21.09.2016