Wireshark 如何识别数据包属于 MySQL 协议？

wireshark 识别 mysql 协议的原理

在 wireshark 中，通过输入特定协议名称（如 mysql、amqp 等）进行过滤，可以筛选出相应的网络数据包。那么，wireshark 是如何识别一个数据包是否属于 mysql 协议的呢？

粗暴却有效的方法

wireshark 采用了一种简单而有效的方法来识别 mysql 协议：

1. 先判断是否是 tcp 协议：wireshark 会首先检查数据包是否属于 tcp 协议。
2. 再判断端口是否是 3306：如果数据包是 tcp 协议，wireshark 会进一步检查其端口号是否为 3306，因为 mysql 默认使用 3306 端口。

如果前两个条件都满足，wireshark 会认为该数据包可能是 mysql 协议。

解析尝试

在判断为潜在的 mysql 协议后，wireshark 会尝试解析该数据包的内容。如果解析成功，则确认该数据包属于 mysql 协议。解析不成功，则 wireshark 会将该数据包交给其他满足条件的解析器继续解析，直到无法再解析。

代码详解

wireshark 的源码中提供了对解析过程的详细信息。在 epan/dissectors/packet-mysql.c 文件中，可以找到相关的解析代码。

例如，下述代码判断数据包是否是 tcp 协议且端口号是 3306：

if (!pinfo->fd->flags.visited && pinfo->ptype == PT_TCP &&     pinfo->destport == mysql_tcp_port) {     return 1;  // 可能是 MySQL 协议 }

如果该判断为真，wireshark 将继续尝试解析数据包的内容，确认其是否真正属于 mysql 协议。