wireshark插件 - 用自己做的插件，来简单分析ARP协议
前言
最近要调试chromium工程，感到自己的开发机台渣了。借着这个理由，换个新的开发机，安慰自己一下。要是没找到理由，自己会惭愧的，还真说服不了自己换新计算机。
将内存升到64GB, 用起来好爽。主板上还有4个内存插槽，还能加4个单条的16GB内存。等下一步，再找个理由(估计很难)，升到128GB. 华硕主板做的是真强。
上午在捣鼓新开发机，将旧开发机的ssd和机械硬盘加到新开发机上了。装开发环境。
想起上周，想做的wireshark的arp分析插件。就拿这个工程来试试刀，看看编译和调试的感觉是不是好很多。
有以前做好的虚拟机，wireshark开发环境都是好的。这回，给虚拟机分配32GB内存，CPU只能分2x2.
开始做wireshark-arp分析插件。
ARP协议简单. 做的时候，要接管wireshark的内建的ARP分析(不要改wireshark源码，只由插件代码来接管), 这个实验了好久. 去围观和调试了wireshark的arp协议分析的实现, 抄代码挺爽的, 能边做边学。
插件主实现下载
从上一个插件代码实验的博文，将主实现拷贝下来做实验，发现每行结尾的回车换行都变了. 应该是csdn博客的bug, 以前有拷贝代码的按钮，拷贝下来和原始代码一样，现在没这个按钮了, 拷贝下来都变形了. 特别是Makefile.
packet-foo-arp.c
ARP协议下载
在网上找了一份将ARP协议的ppt
protocol_arp_rarp.pdf
运行效果
通过对ARP问答包的分别分析，可以看出，ARP发送者是多播，ARP回答者是单播.
ARP protocol parse by foo plugin
TAG_ARP_HEADER.hardware_type = Ethernet (0x0001)
TAG_ARP_HEADER.protocol_type = IPv4 (0x0800)
TAG_ARP_HEADER.hardware_size = 6
TAG_ARP_HEADER.protocol_size = 4
TAG_ARP_HEADER.opt_code = request (0x0001)
sender mac = 8C:F2:28:4B:E3:2C
sender ip = 192.168.2.2
request mac = 00:00:00:00:00:00
request ip = 192.168.2.66
nice, parse ok
ARP protocol parse by foo plugin
TAG_ARP_HEADER.hardware_type = Ethernet (0x0001)
TAG_ARP_HEADER.protocol_type = IPv4 (0x0800)
TAG_ARP_HEADER.hardware_size = 6
TAG_ARP_HEADER.protocol_size = 4
TAG_ARP_HEADER.opt_code = reply (0x0002)
sender mac = 4C:ED:FB:CB:44:1C
sender ip = 192.168.2.66
request mac = 8C:F2:28:4B:E3:2C
request ip = 192.168.2.2
nice, parse ok
通过分析，可以看出这对ARP应答, 是我的路由器(网关)在问我的新开发机的mac和IP对应关系. 他为啥要问呢? 已经连接了好久。
arp协议分析简单实现-主实现预览
wireshark插件要配好一套开发环境，单是主实现，编译不出能用的插件。
配插件环境，太折腾了，不想每个实验都搞一个新插件工程。如果不是正式工程，不想整新插件工程了。
将环境搭好了，配好一个foo插件工程, 在这个工程中作各种协议分析的实验。
// @file packet-foo.c
// @brief the foo plugin parse ARP protocol
// @ref http://www.dgtech.com/foo/sys/www/docs/html/
// https://www.wireshark.org/docs/wsdg_html_chunked/
// https://www.wireshark.org/docs/wsdg_html_chunked/PartDevelopment.html
// https://www.wireshark.org/docs/wsdg_html_chunked/ChDissectAdd.html#idm1589259872
// @note how to use foo plugin
// open a pcap file or capture any packet, select a tcp frame(have payload), Decode as ... => foo => ok
#include