调用wireshark（一）：初次尝试
众所周知，wireshark是一款强大的开源抓包与协议分析工具。wireshark是一个巨大的宝库：通过研究它的协议解析器代码，我们可以加深对协议的理解；通过调用它的导出函数，我们可以在自己的程序中添加协议解析、协议过滤等功能。
这一系列文章就将一步步介绍在Windows平台上如何调用wireshark dll中提供的导出函数。
wireshark导出函数
windows版的wireshark在安装后，在安装根目录下有一个30多MB（视版本不同有所变化）的libwireshark.dll，没错，它就是我们将要调用的dll了。使用Dependency Walker打开它，如下图所示：
红色框标出来的那个函数val_to_str, 我们接下来要用到。
除了从这里查看wireshark的导出函数外，还可以查看 <wireshark源码目录>\epan\libwireshark.def 这个文件，来看特定版本的wireshark导出哪些变量和函数。
环境配置与准备
OK，接下来让我们写一点代码，来调用wireshark提供给我们的val_to_str函数。
调用某个函数前，最好看看它的wireshark源码，以便我们能在自己的代码中声明此函数。比如这个val_to_str，它在<wireshark源码目录>\epan\value_string.h 中声明：
/* Tries to match val against each element in the value_string array vs. Returns the associated string ptr on a match. Formats val with fmt, and returns the resulting string, on failure. */ extern const gchar* val_to_str(const guint32 val, const value_string *vs, const char *fmt);
那么这个value_string又是什么东东呢？其实它的声明也在这个文件里：
/* Struct for the val_to_str, match_strval_idx, and match_strval functions */ typedef struct _value_string { guint32 value; const gchar *strptr; } value_string;
呵呵，可见val_to_str函数的作用，就是返回value_string数组vs中value为val的项的字符串strptr。如果发生错误，则用fmt格式化val并返回。
我们使用Win32 Console工程。首先必须做一些琐碎的准备工作，比如添加glib和wireshark的一些头文件和库，再比如把libwireshark.dll和它所依赖的各种dll拷贝到你的程序所在目录，随便你怎么做，总之，要让你的程序找得到libwireshark.dll和它的依赖项。比如我设置了：
C/C++ - 常规 - 附加包含目录：
"E:\dev\WiresharkDev1.8.4\gtk+-bundle_2.24.10-2.7_win32ws\include\glib-2.0";
"E:\dev\WiresharkDev1.8.4\gtk+-bundle_2.24.10-2.7_win32ws\lib\glib-2.0\include";
"E:\dev\wireshark-1.8.4"
链接器 - 常规 - 附加库目录
"E:\dev\WiresharkDev1.8.4\gtk+-bundle_2.24.10-2.7_win32ws\lib"
链接器 - 输入 - 附加依赖项
glib-2.0.lib
然后，我把wireshark安装目录下，几乎所有dll拷贝到了我的工程的debug或release目录。
开发代码
其实代码很简单，主要过程就是：
加载libwireshark.dll -> 从DLL实例中获取函数val_to_str的地址 -> 调用val_to_str。
代码如下：
1 /* 2 * 调用wireshark的一个小函数 3 * 4 * Copyright (c) 2013 赵子清， All rights reserved. 5 * 6 */ 7 8 9 #include <Windows.h> 10 #include <stdio.h> 11 #include "epan/value_string.h" 12 13 14 const value_string vs[] = 15 { 16 {1, "C++"}, 17 {2, "java"}, 18 {3, "php"} 19 }; 20 21 typedef void (*f_emem_init) (void); 22 typedef void (*f_ep_free_all) (void); 23 typedef const gchar* (*f_val_to_str) (guint32 val, const value_string *vs, const char *fmt); 24 25 26 int main(int argc, char* argv[]) 27 { 28 HINSTANCE hDLL; 29 f_emem_init ws_emem_init; 30 f_ep_free_all ws_ep_free_all; 31 f_val_to_str ws_val_to_str; 32 33 hDLL = ::LoadLibrary("libwireshark.dll"); 34 if(!hDLL) 35 { 36 printf("Can't load DLL!\n"); 37 } 38 else 39 { 40 ws_emem_init = (f_emem_init)::GetProcAddress(hDLL, "emem_init"); 41 ws_ep_free_all = (f_ep_free_all)::GetProcAddress(hDLL, "ep_free_all"); 42 ws_val_to_str = (f_val_to_str)::GetProcAddress(hDLL, "val_to_str"); 43 if(!hDLL) 44 { 45 ::FreeLibrary(hDLL); 46 printf("Can't get function!\n"); 47 } 48 else 49 { 50 const gchar* ret; 51 const gchar* fmt = "item not exist: %d"; 52 ws_emem_init(); 53 ret = ws_val_to_str(2, vs, fmt); 54 printf("%s\n", ret); 55 ret = ws_val_to_str(9, vs, fmt); 56 printf("%s\n", ret); 57 ret = ws_val_to_str(2, NULL, fmt); 58 printf("%s\n", ret); 59 ws_ep_free_all(); 60 } 61 } 62 63 system("PAUSE"); 64 return 0; 65 }
有同学可能要问了：不是说好调用val_to_str的吗？为什么还要调用emem_init和ep_free_all？
是这样的，前面提到过，当val_to_str函数各种失败时，它就用fmt格式化val，并返回。而返回的是一个字符串指针，那么它的内存需要由wireshark内部来进行分配，所以，就用到emem_init了，它在wireshark启动时调用一次，初始化内部的内存分配机制。而ep_free_all，好吧，是擦屁股的。。。
写完收工，运行之，如下：
