rawshark.c

   1 /* rawshark.c
   2  *
   3  * Wireshark - Network traffic analyzer
   4  * By Gerald Combs <gerald@wireshark.org>
   5  * Copyright 1998 Gerald Combs
   6  *
   7  * Rawshark - Raw field extractor by Gerald Combs <gerald@wireshark.org>
   8  * and Loris Degioanni <loris.degioanni@cacetech.com>
   9  * Based on TShark, by Gilbert Ramirez <gram@alumni.rice.edu> and Guy Harris
  10  * <guy@alum.mit.edu>.
  11  *
  12  * This program is free software; you can redistribute it and/or
  13  * modify it under the terms of the GNU General Public License
  14  * as published by the Free Software Foundation; either version 2
  15  * of the License, or (at your option) any later version.
  16  *
  17  * This program is distributed in the hope that it will be useful,
  18  * but WITHOUT ANY WARRANTY; without even the implied warranty of
  19  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  20  * GNU General Public License for more details.
  21  *
  22  * You should have received a copy of the GNU General Public License
  23  * along with this program; if not, write to the Free Software
  24  * Foundation, Inc., 51 Franklin Street, Fifth Floor, Boston, MA 02110-1301 USA.
  25  */
  26
  27 /*
  28  * Rawshark does the following:
  29  * - Opens a specified file or named pipe
  30  * - Applies a specfied DLT or "decode as" encapsulation
  31  * - Reads frames prepended with a libpcap packet header.
  32  * - Prints a status line, followed by fields from a specified list.
  33  */
  34
  35 #include <config.h>
  36
  37 #include <stdlib.h>
  38 #include <stdio.h>
  39 #include <string.h>
  40 #include <locale.h>
  41 #include <limits.h>
  42
  43 #ifdef HAVE_UNISTD_H
  44 #include <unistd.h>
  45 #endif
  46
  47 #ifdef HAVE_GETOPT_H
  48 #include <getopt.h>
  49 #endif
  50
  51 #include <errno.h>
  52
  53 #ifdef HAVE_FCNTL_H
  54 #include <fcntl.h>
  55 #endif
  56
  57 #ifdef HAVE_SYS_STAT_H
  58 # include <sys/stat.h>
  59 #endif
  60
  61 #ifndef HAVE_GETOPT_LONG
  62 #include "wsutil/wsgetopt.h"
  63 #endif
  64
  65 #include <glib.h>
  66 #include <epan/epan-int.h>
  67 #include <epan/epan.h>
  68
  69 #include <wsutil/cmdarg_err.h>
  70 #include <wsutil/crash_info.h>
  71 #include <wsutil/filesystem.h>
  72 #include <wsutil/file_util.h>
  73 #include <wsutil/plugins.h>
  74 #include <wsutil/privileges.h>
  75 #include <wsutil/report_err.h>
  76 #include <wsutil/ws_diag_control.h>
  77
  78 #include "globals.h"
  79 #include <epan/packet.h>
  80 #include <epan/ftypes/ftypes-int.h>
  81 #include "file.h"
  82 #include "frame_tvbuff.h"
  83 #include <epan/disabled_protos.h>
  84 #include <epan/prefs.h>
  85 #include <epan/column.h>
  86 #include <epan/print.h>
  87 #include <epan/addr_resolv.h>
  88 #ifdef HAVE_LIBPCAP
  89 #include "ui/capture_ui_utils.h"
  90 #endif
  91 #include "ui/util.h"
  92 #include "register.h"
  93 #include "conditions.h"
  94 #include "capture_stop_conditions.h"
  95 #include <epan/epan_dissect.h>
  96 #include <epan/stat_tap_ui.h>
  97 #include <epan/timestamp.h>
  98 #include <wsutil/unicode-utils.h>
  99 #include "epan/column-utils.h"
 100 #include "epan/proto.h"
 101 #include <epan/tap.h>
 102
 103 #include <wiretap/wtap.h>
 104 #include <wiretap/libpcap.h>
 105 #include <wiretap/pcap-encap.h>
 106
 107 #include <wsutil/clopts_common.h>
 108 #include <wsutil/ws_version_info.h>
 109
 110 #include "caputils/capture-pcap-util.h"
 111
 112 #ifdef HAVE_LIBPCAP
 113 #include <setjmp.h>
 114 #ifdef _WIN32
 115 #include "caputils/capture-wpcap.h"
 116 #endif /* _WIN32 */
 117 #endif /* HAVE_LIBPCAP */
 118 #include "log.h"
 119
 120 #if 0
 121 /*
 122  * This is the template for the decode as option; it is shared between the
 123  * various functions that output the usage for this parameter.
 124  */
 125 static const gchar decode_as_arg_template[] = "<layer_type>==<selector>,<decode_as_protocol>";
 126 #endif
 127
 128 static guint32 cum_bytes;
 129 static const frame_data *ref;
 130 static frame_data ref_frame;
 131 static frame_data *prev_dis;
 132 static frame_data prev_dis_frame;
 133 static frame_data *prev_cap;
 134 static frame_data prev_cap_frame;
 135
 136 /*
 137  * The way the packet decode is to be written.
 138  */
 139 typedef enum {
 140     WRITE_TEXT, /* summary or detail text */
 141     WRITE_XML   /* PDML or PSML */
 142     /* Add CSV and the like here */
 143 } output_action_e;
 144
 145 static gboolean line_buffered;
 146 static print_format_e print_format = PR_FMT_TEXT;
 147
 148 static gboolean want_pcap_pkthdr;
 149
 150 cf_status_t raw_cf_open(capture_file *cf, const char *fname);
 151 static gboolean load_cap_file(capture_file *cf);
 152 static gboolean process_packet(capture_file *cf, epan_dissect_t *edt, gint64 offset,
 153                                struct wtap_pkthdr *whdr, const guchar *pd);
 154 static void show_print_file_io_error(int err);
 155
 156 static void open_failure_message(const char *filename, int err,
 157                                  gboolean for_writing);
 158 static void failure_message(const char *msg_format, va_list ap);
 159 static void read_failure_message(const char *filename, int err);
 160 static void write_failure_message(const char *filename, int err);
 161 static void rawshark_cmdarg_err(const char *fmt, va_list ap);
 162 static void rawshark_cmdarg_err_cont(const char *fmt, va_list ap);
 163 static void protocolinfo_init(char *field);
 164 static gboolean parse_field_string_format(char *format);
 165
 166 typedef enum {
 167     SF_NONE,    /* No format (placeholder) */
 168     SF_NAME,    /* %D Field name / description */
 169     SF_NUMVAL,  /* %N Numeric value */
 170     SF_STRVAL   /* %S String value */
 171 } string_fmt_e;
 172
 173 typedef struct string_fmt_s {
 174     gchar *plain;
 175     string_fmt_e format;    /* Valid if plain is NULL */
 176 } string_fmt_t;
 177
 178 capture_file cfile;
 179 int n_rfilters;
 180 int n_rfcodes;
 181 dfilter_t *rfcodes[64];
 182 int n_rfieldfilters;
 183 dfilter_t *rfieldfcodes[64];
 184 int fd;
 185 int encap;
 186 GPtrArray *string_fmts;
 187
 188 static void
 189 print_usage(FILE *output)
 190 {
 191     fprintf(output, "\n");
 192     fprintf(output, "Usage: rawshark [options] ...\n");
 193     fprintf(output, "\n");
 194
 195     fprintf(output, "Input file:\n");
 196     fprintf(output, "  -r <infile>              set the pipe or file name to read from\n");
 197
 198     fprintf(output, "\n");
 199     fprintf(output, "Processing:\n");
 200     fprintf(output, "  -d <encap:linktype>|<proto:protoname>\n");
 201     fprintf(output, "                           packet encapsulation or protocol\n");
 202     fprintf(output, "  -F <field>               field to display\n");
 203     fprintf(output, "  -n                       disable all name resolution (def: all enabled)\n");
 204     fprintf(output, "  -N <name resolve flags>  enable specific name resolution(s): \"mnNtCd\"\n");
 205     fprintf(output, "  -p                       use the system's packet header format\n");
 206     fprintf(output, "                           (which may have 64-bit timestamps)\n");
 207     fprintf(output, "  -R <read filter>         packet filter in Wireshark display filter syntax\n");
 208     fprintf(output, "  -s                       skip PCAP header on input\n");
 209
 210     fprintf(output, "\n");
 211     fprintf(output, "Output:\n");
 212     fprintf(output, "  -l                       flush output after each packet\n");
 213     fprintf(output, "  -S                       format string for fields\n");
 214     fprintf(output, "                           (%%D - name, %%S - stringval, %%N numval)\n");
 215     fprintf(output, "  -t ad|a|r|d|dd|e         output format of time stamps (def: r: rel. to first)\n");
 216
 217     fprintf(output, "\n");
 218     fprintf(output, "Miscellaneous:\n");
 219     fprintf(output, "  -h                       display this help and exit\n");
 220     fprintf(output, "  -o <name>:<value> ...    override preference setting\n");
 221     fprintf(output, "  -v                       display version info and exit\n");
 222 }
 223
 224 static void
 225 log_func_ignore (const gchar *log_domain _U_, GLogLevelFlags log_level _U_,
 226                  const gchar *message _U_, gpointer user_data _U_)
 227 {
 228 }
 229
 230 /**
 231  * Open a pipe for raw input.  This is a stripped-down version of
 232  * pcap_loop.c:cap_pipe_open_live().
 233  * We check if "pipe_name" is "-" (stdin) or a FIFO, and open it.
 234  * @param pipe_name The name of the pipe or FIFO.
 235  * @return A POSIX file descriptor on success, or -1 on failure.
 236  */
 237 static int
 238 raw_pipe_open(const char *pipe_name)
 239 {
 240 #ifndef _WIN32
 241     ws_statb64 pipe_stat;
 242 #else
 243     char *pncopy, *pos = NULL;
 244     DWORD err;
 245     wchar_t *err_str;
 246     HANDLE hPipe = NULL;
 247 #endif
 248     int          rfd;
 249
 250     g_log(LOG_DOMAIN_CAPTURE_CHILD, G_LOG_LEVEL_DEBUG, "open_raw_pipe: %s", pipe_name);
 251
 252     /*
 253      * XXX Rawshark blocks until we return
 254      */
 255     if (strcmp(pipe_name, "-") == 0) {
 256         rfd = 0; /* read from stdin */
 257 #ifdef _WIN32
 258         /*
 259          * This is needed to set the stdin pipe into binary mode, otherwise
 260          * CR/LF are mangled...
 261          */
 262         _setmode(0, _O_BINARY);
 263 #endif  /* _WIN32 */
 264     } else {
 265 #ifndef _WIN32
 266         if (ws_stat64(pipe_name, &pipe_stat) < 0) {
 267             fprintf(stderr, "rawshark: The pipe %s could not be checked: %s\n",
 268                     pipe_name, g_strerror(errno));
 269             return -1;
 270         }
 271         if (! S_ISFIFO(pipe_stat.st_mode)) {
 272             if (S_ISCHR(pipe_stat.st_mode)) {
 273                 /*
 274                  * Assume the user specified an interface on a system where
 275                  * interfaces are in /dev.  Pretend we haven't seen it.
 276                  */
 277             } else
 278             {
 279                 fprintf(stderr, "rawshark: \"%s\" is neither an interface nor a pipe\n",
 280                         pipe_name);
 281             }
 282             return -1;
 283         }
 284         rfd = ws_open(pipe_name, O_RDONLY | O_NONBLOCK, 0000 /* no creation so don't matter */);
 285         if (rfd == -1) {
 286             fprintf(stderr, "rawshark: \"%s\" could not be opened: %s\n",
 287                     pipe_name, g_strerror(errno));
 288             return -1;
 289         }
 290 #else /* _WIN32 */
 291 #define PIPE_STR "\\pipe\\"
 292         /* Under Windows, named pipes _must_ have the form
 293          * "\\<server>\pipe\<pipe_name>".  <server> may be "." for localhost.
 294          */
 295         pncopy = g_strdup(pipe_name);
 296         if (strstr(pncopy, "\\\\") == pncopy) {
 297             pos = strchr(pncopy + 3, '\\');
 298             if (pos && g_ascii_strncasecmp(pos, PIPE_STR, strlen(PIPE_STR)) != 0)
 299                 pos = NULL;
 300         }
 301
 302         g_free(pncopy);
 303
 304         if (!pos) {
 305             fprintf(stderr, "rawshark: \"%s\" is neither an interface nor a pipe\n",
 306                     pipe_name);
 307             return -1;
 308         }
 309
 310         /* Wait for the pipe to appear */
 311         while (1) {
 312             hPipe = CreateFile(utf_8to16(pipe_name), GENERIC_READ, 0, NULL,
 313                                OPEN_EXISTING, 0, NULL);
 314
 315             if (hPipe != INVALID_HANDLE_VALUE)
 316                 break;
 317
 318             err = GetLastError();
 319             if (err != ERROR_PIPE_BUSY) {
 320                 FormatMessage(FORMAT_MESSAGE_FROM_SYSTEM | FORMAT_MESSAGE_ALLOCATE_BUFFER | FORMAT_MESSAGE_IGNORE_INSERTS,
 321                               NULL, err, 0, (LPTSTR) &err_str, 0, NULL);
 322                 fprintf(stderr, "rawshark: \"%s\" could not be opened: %s (error %lu)\n",
 323                         pipe_name, utf_16to8(err_str), err);
 324                 LocalFree(err_str);
 325                 return -1;
 326             }
 327
 328             if (!WaitNamedPipe(utf_8to16(pipe_name), 30 * 1000)) {
 329                 err = GetLastError();
 330                 FormatMessage(FORMAT_MESSAGE_FROM_SYSTEM | FORMAT_MESSAGE_ALLOCATE_BUFFER | FORMAT_MESSAGE_IGNORE_INSERTS,
 331                               NULL, err, 0, (LPTSTR) &err_str, 0, NULL);
 332                 fprintf(stderr, "rawshark: \"%s\" could not be waited for: %s (error %lu)\n",
 333                         pipe_name, utf_16to8(err_str), err);
 334                 LocalFree(err_str);
 335                 return -1;
 336             }
 337         }
 338
 339         rfd = _open_osfhandle((intptr_t) hPipe, _O_RDONLY);
 340         if (rfd == -1) {
 341             fprintf(stderr, "rawshark: \"%s\" could not be opened: %s\n",
 342                     pipe_name, g_strerror(errno));
 343             return -1;
 344         }
 345 #endif /* _WIN32 */
 346     }
 347
 348     return rfd;
 349 }
 350
 351 /**
 352  * Parse a link-type argument of the form "encap:<pcap linktype>" or
 353  * "proto:<proto name>".  "Pcap linktype" must be a name conforming to
 354  * pcap_datalink_name_to_val() or an integer; the integer should be
 355  * a LINKTYPE_ value supported by Wiretap.  "Proto name" must be
 356  * a protocol name, e.g. "http".
 357  */
 358 static gboolean
 359 set_link_type(const char *lt_arg) {
 360     char *spec_ptr = strchr(lt_arg, ':');
 361     char *p;
 362     int dlt_val;
 363     long val;
 364     dissector_handle_t dhandle;
 365     GString *pref_str;
 366
 367     if (!spec_ptr)
 368         return FALSE;
 369
 370     spec_ptr++;
 371
 372     if (strncmp(lt_arg, "encap:", strlen("encap:")) == 0) {
 373         dlt_val = linktype_name_to_val(spec_ptr);
 374         if (dlt_val == -1) {
 375             errno = 0;
 376             val = strtol(spec_ptr, &p, 10);
 377             if (p == spec_ptr || *p != '\0' || errno != 0 || val > INT_MAX) {
 378                 return FALSE;
 379             }
 380             dlt_val = (int)val;
 381         }
 382         /*
 383          * In those cases where a given link-layer header type
 384          * has different LINKTYPE_ and DLT_ values, linktype_name_to_val()
 385          * will return the OS's DLT_ value for that link-layer header
 386          * type, not its OS-independent LINKTYPE_ value.
 387          *
 388          * On a given OS, wtap_pcap_encap_to_wtap_encap() should
 389          * be able to map either LINKTYPE_ values or DLT_ values
 390          * for the OS to the appropriate Wiretap encapsulation.
 391          */
 392         encap = wtap_pcap_encap_to_wtap_encap(dlt_val);
 393         if (encap == WTAP_ENCAP_UNKNOWN) {
 394             return FALSE;
 395         }
 396         return TRUE;
 397     } else if (strncmp(lt_arg, "proto:", strlen("proto:")) == 0) {
 398         dhandle = find_dissector(spec_ptr);
 399         if (dhandle) {
 400             encap = WTAP_ENCAP_USER0;
 401             pref_str = g_string_new("uat:user_dlts:");
 402             /* This must match the format used in the user_dlts file */
 403             g_string_append_printf(pref_str,
 404                                    "\"User 0 (DLT=147)\",\"%s\",\"0\",\"\",\"0\",\"\"",
 405                                    spec_ptr);
 406             if (prefs_set_pref(pref_str->str) != PREFS_SET_OK) {
 407                 g_string_free(pref_str, TRUE);
 408                 return FALSE;
 409             }
 410             g_string_free(pref_str, TRUE);
 411             return TRUE;
 412         }
 413     }
 414     return FALSE;
 415 }
 416
 417 int
 418 main(int argc, char *argv[])
 419 {
 420     GString             *comp_info_str;
 421     GString             *runtime_info_str;
 422     char                *init_progfile_dir_error;
 423     int                  opt, i;
 424     gboolean             arg_error = FALSE;
 425
 426 #ifdef _WIN32
 427     WSADATA              wsaData;
 428 #endif  /* _WIN32 */
 429
 430     char                *gpf_path, *pf_path;
 431     char                *gdp_path, *dp_path;
 432     int                  gpf_open_errno, gpf_read_errno;
 433     int                  pf_open_errno, pf_read_errno;
 434     int                  gdp_open_errno, gdp_read_errno;
 435     int                  dp_open_errno, dp_read_errno;
 436     gchar               *pipe_name = NULL;
 437     gchar               *rfilters[64];
 438     e_prefs             *prefs_p;
 439     char                 badopt;
 440     int                  log_flags;
 441     GPtrArray           *disp_fields = g_ptr_array_new();
 442     guint                fc;
 443     gboolean             skip_pcap_header = FALSE;
 444 DIAG_OFF(cast-qual)
 445     static const struct option long_options[] = {
 446       {(char *)"help", no_argument, NULL, 'h'},
 447       {(char *)"version", no_argument, NULL, 'v'},
 448       {0, 0, 0, 0 }
 449     };
 450 DIAG_ON(cast-qual)
 451
 452 #define OPTSTRING_INIT "d:F:hlnN:o:pr:R:sS:t:v"
 453
 454     static const char    optstring[] = OPTSTRING_INIT;
 455
 456     /* Set the C-language locale to the native environment. */
 457     setlocale(LC_ALL, "");
 458
 459     cmdarg_err_init(rawshark_cmdarg_err, rawshark_cmdarg_err_cont);
 460
 461     /* Get the compile-time version information string */
 462     comp_info_str = get_compiled_version_info(NULL, epan_get_compiled_version_info);
 463
 464     /* Get the run-time version information string */
 465     runtime_info_str = get_runtime_version_info(NULL);
 466
 467     /* Add it to the information to be reported on a crash. */
 468     ws_add_crash_info("Rawshark (Wireshark) %s\n"
 469            "\n"
 470            "%s"
 471            "\n"
 472            "%s",
 473         get_ws_vcs_version_info(), comp_info_str->str, runtime_info_str->str);
 474
 475 #ifdef _WIN32
 476     arg_list_utf_16to8(argc, argv);
 477     create_app_running_mutex();
 478 #endif /* _WIN32 */
 479
 480     /*
 481      * Get credential information for later use.
 482      */
 483     init_process_policies();
 484
 485     /*
 486      * Clear the filters arrays
 487      */
 488     memset(rfilters, 0, sizeof(rfilters));
 489     memset(rfcodes, 0, sizeof(rfcodes));
 490     n_rfilters = 0;
 491     n_rfcodes = 0;
 492
 493     /*
 494      * Initialize our string format
 495      */
 496     string_fmts = g_ptr_array_new();
 497
 498     /*
 499      * Attempt to get the pathname of the executable file.
 500      */
 501     init_progfile_dir_error = init_progfile_dir(argv[0], (void *)main);
 502     if (init_progfile_dir_error != NULL) {
 503         fprintf(stderr, "rawshark: Can't get pathname of rawshark program: %s.\n",
 504                 init_progfile_dir_error);
 505     }
 506
 507     /* nothing more than the standard GLib handler, but without a warning */
 508     log_flags =
 509         G_LOG_LEVEL_WARNING |
 510         G_LOG_LEVEL_MESSAGE |
 511         G_LOG_LEVEL_INFO |
 512         G_LOG_LEVEL_DEBUG;
 513
 514     g_log_set_handler(NULL,
 515                       (GLogLevelFlags)log_flags,
 516                       log_func_ignore, NULL /* user_data */);
 517     g_log_set_handler(LOG_DOMAIN_CAPTURE_CHILD,
 518                       (GLogLevelFlags)log_flags,
 519                       log_func_ignore, NULL /* user_data */);
 520
 521     init_report_err(failure_message, open_failure_message, read_failure_message,
 522                     write_failure_message);
 523
 524     timestamp_set_type(TS_RELATIVE);
 525     timestamp_set_precision(TS_PREC_AUTO);
 526     timestamp_set_seconds_type(TS_SECONDS_DEFAULT);
 527
 528     /* Register all dissectors; we must do this before checking for the
 529        "-G" flag, as the "-G" flag dumps information registered by the
 530        dissectors, and we must do it before we read the preferences, in
 531        case any dissectors register preferences. */
 532     if (!epan_init(register_all_protocols, register_all_protocol_handoffs,
 533                    NULL, NULL))
 534         return 2;
 535
 536     prefs_p = read_prefs(&gpf_open_errno, &gpf_read_errno, &gpf_path,
 537                          &pf_open_errno, &pf_read_errno, &pf_path);
 538     if (gpf_path != NULL) {
 539         if (gpf_open_errno != 0) {
 540             cmdarg_err("Can't open global preferences file \"%s\": %s.",
 541                        pf_path, g_strerror(gpf_open_errno));
 542         }
 543         if (gpf_read_errno != 0) {
 544             cmdarg_err("I/O error reading global preferences file \"%s\": %s.",
 545                        pf_path, g_strerror(gpf_read_errno));
 546         }
 547     }
 548     if (pf_path != NULL) {
 549         if (pf_open_errno != 0) {
 550             cmdarg_err("Can't open your preferences file \"%s\": %s.", pf_path,
 551                        g_strerror(pf_open_errno));
 552         }
 553         if (pf_read_errno != 0) {
 554             cmdarg_err("I/O error reading your preferences file \"%s\": %s.",
 555                        pf_path, g_strerror(pf_read_errno));
 556         }
 557         g_free(pf_path);
 558         pf_path = NULL;
 559     }
 560
 561     /* Read the disabled protocols file. */
 562     read_disabled_protos_list(&gdp_path, &gdp_open_errno, &gdp_read_errno,
 563                               &dp_path, &dp_open_errno, &dp_read_errno);
 564     read_disabled_heur_dissector_list(&gdp_path, &gdp_open_errno, &gdp_read_errno,
 565                               &dp_path, &dp_open_errno, &dp_read_errno);
 566     if (gdp_path != NULL) {
 567         if (gdp_open_errno != 0) {
 568             cmdarg_err("Could not open global disabled protocols file\n\"%s\": %s.",
 569                        gdp_path, g_strerror(gdp_open_errno));
 570         }
 571         if (gdp_read_errno != 0) {
 572             cmdarg_err("I/O error reading global disabled protocols file\n\"%s\": %s.",
 573                        gdp_path, g_strerror(gdp_read_errno));
 574         }
 575         g_free(gdp_path);
 576     }
 577     if (dp_path != NULL) {
 578         if (dp_open_errno != 0) {
 579             cmdarg_err(
 580                 "Could not open your disabled protocols file\n\"%s\": %s.", dp_path,
 581                 g_strerror(dp_open_errno));
 582         }
 583         if (dp_read_errno != 0) {
 584             cmdarg_err(
 585                 "I/O error reading your disabled protocols file\n\"%s\": %s.", dp_path,
 586                 g_strerror(dp_read_errno));
 587         }
 588         g_free(dp_path);
 589     }
 590
 591 #ifdef _WIN32
 592     /* Load Wpcap, if possible */
 593     load_wpcap();
 594 #endif
 595
 596     cap_file_init(&cfile);
 597
 598     /* Print format defaults to this. */
 599     print_format = PR_FMT_TEXT;
 600
 601     /* Initialize our encapsulation type */
 602     encap = WTAP_ENCAP_UNKNOWN;
 603
 604     /* Now get our args */
 605     /* XXX - We should probably have an option to dump libpcap link types */
 606     while ((opt = getopt_long(argc, argv, optstring, long_options, NULL)) != -1) {
 607         switch (opt) {
 608             case 'd':        /* Payload type */
 609                 if (!set_link_type(optarg)) {
 610                     cmdarg_err("Invalid link type or protocol \"%s\"", optarg);
 611                     exit(1);
 612                 }
 613                 break;
 614             case 'F':        /* Read field to display */
 615                 g_ptr_array_add(disp_fields, g_strdup(optarg));
 616                 break;
 617             case 'h':        /* Print help and exit */
 618                 printf("Rawshark (Wireshark) %s\n"
 619                        "Dump and analyze network traffic.\n"
 620                        "See http://www.wireshark.org for more information.\n",
 621                        get_ws_vcs_version_info());
 622                 print_usage(stdout);
 623                 exit(0);
 624                 break;
 625             case 'l':        /* "Line-buffer" standard output */
 626                 /* This isn't line-buffering, strictly speaking, it's just
 627                    flushing the standard output after the information for
 628                    each packet is printed; however, that should be good
 629                    enough for all the purposes to which "-l" is put (and
 630                    is probably actually better for "-V", as it does fewer
 631                    writes).
 632
 633                    See the comment in "process_packet()" for an explanation of
 634                    why we do that, and why we don't just use "setvbuf()" to
 635                    make the standard output line-buffered (short version: in
 636                    Windows, "line-buffered" is the same as "fully-buffered",
 637                    and the output buffer is only flushed when it fills up). */
 638                 line_buffered = TRUE;
 639                 break;
 640             case 'n':        /* No name resolution */
 641                 disable_name_resolution();
 642                 break;
 643             case 'N':        /* Select what types of addresses/port #s to resolve */
 644                 badopt = string_to_name_resolve(optarg, &gbl_resolv_flags);
 645                 if (badopt != '\0') {
 646                     cmdarg_err("-N specifies unknown resolving option '%c'; valid options are 'C', 'd', m', 'n', 'N', and 't'",
 647                                badopt);
 648                     exit(1);
 649                 }
 650                 break;
 651             case 'o':        /* Override preference from command line */
 652                 switch (prefs_set_pref(optarg)) {
 653
 654                     case PREFS_SET_OK:
 655                         break;
 656
 657                     case PREFS_SET_SYNTAX_ERR:
 658                         cmdarg_err("Invalid -o flag \"%s\"", optarg);
 659                         exit(1);
 660                         break;
 661
 662                     case PREFS_SET_NO_SUCH_PREF:
 663                     case PREFS_SET_OBSOLETE:
 664                         cmdarg_err("-o flag \"%s\" specifies unknown preference", optarg);
 665                         exit(1);
 666                         break;
 667                 }
 668                 break;
 669             case 'p':        /* Expect pcap_pkthdr packet headers, which may have 64-bit timestamps */
 670                 want_pcap_pkthdr = TRUE;
 671                 break;
 672             case 'r':        /* Read capture file xxx */
 673                 pipe_name = g_strdup(optarg);
 674                 break;
 675             case 'R':        /* Read file filter */
 676                 if(n_rfilters < (int) sizeof(rfilters) / (int) sizeof(rfilters[0])) {
 677                     rfilters[n_rfilters++] = optarg;
 678                 }
 679                 else {
 680                     cmdarg_err("Too many display filters");
 681                     exit(1);
 682                 }
 683                 break;
 684             case 's':        /* Skip PCAP header */
 685                 skip_pcap_header = TRUE;
 686                 break;
 687             case 'S':        /* Print string representations */
 688                 if (!parse_field_string_format(optarg)) {
 689                     cmdarg_err("Invalid field string format");
 690                     exit(1);
 691                 }
 692                 break;
 693             case 't':        /* Time stamp type */
 694                 if (strcmp(optarg, "r") == 0)
 695                     timestamp_set_type(TS_RELATIVE);
 696                 else if (strcmp(optarg, "a") == 0)
 697                     timestamp_set_type(TS_ABSOLUTE);
 698                 else if (strcmp(optarg, "ad") == 0)
 699                     timestamp_set_type(TS_ABSOLUTE_WITH_YMD);
 700                 else if (strcmp(optarg, "adoy") == 0)
 701                     timestamp_set_type(TS_ABSOLUTE_WITH_YDOY);
 702                 else if (strcmp(optarg, "d") == 0)
 703                     timestamp_set_type(TS_DELTA);
 704                 else if (strcmp(optarg, "dd") == 0)
 705                     timestamp_set_type(TS_DELTA_DIS);
 706                 else if (strcmp(optarg, "e") == 0)
 707                     timestamp_set_type(TS_EPOCH);
 708                 else if (strcmp(optarg, "u") == 0)
 709                     timestamp_set_type(TS_UTC);
 710                 else if (strcmp(optarg, "ud") == 0)
 711                     timestamp_set_type(TS_UTC_WITH_YMD);
 712                 else if (strcmp(optarg, "udoy") == 0)
 713                     timestamp_set_type(TS_UTC_WITH_YDOY);
 714                 else {
 715                     cmdarg_err("Invalid time stamp type \"%s\"",
 716                                optarg);
 717                     cmdarg_err_cont(
 718 "It must be \"a\" for absolute, \"ad\" for absolute with YYYY-MM-DD date,");
 719                     cmdarg_err_cont(
 720 "\"adoy\" for absolute with YYYY/DOY date, \"d\" for delta,");
 721                     cmdarg_err_cont(
 722 "\"dd\" for delta displayed, \"e\" for epoch, \"r\" for relative,");
 723                     cmdarg_err_cont(
 724 "\"u\" for absolute UTC, \"ud\" for absolute UTC with YYYY-MM-DD date,");
 725                     cmdarg_err_cont(
 726 "or \"udoy\" for absolute UTC with YYYY/DOY date.");
 727                     exit(1);
 728                 }
 729                 break;
 730             case 'v':        /* Show version and exit */
 731             {
 732                 show_version("Rawshark (Wireshark)", comp_info_str, runtime_info_str);
 733                 g_string_free(comp_info_str, TRUE);
 734                 g_string_free(runtime_info_str, TRUE);
 735                 exit(0);
 736                 break;
 737             }
 738             default:
 739             case '?':        /* Bad flag - print usage message */
 740                 print_usage(stderr);
 741             exit(1);
 742             break;
 743         }
 744     }
 745
 746     /* Notify all registered modules that have had any of their preferences
 747        changed either from one of the preferences file or from the command
 748        line that their preferences have changed.
 749        Initialize preferences before display filters, otherwise modules
 750        like MATE won't work. */
 751     prefs_apply_all();
 752
 753     /* Initialize our display fields */
 754     for (fc = 0; fc < disp_fields->len; fc++) {
 755         protocolinfo_init((char *)g_ptr_array_index(disp_fields, fc));
 756     }
 757     g_ptr_array_free(disp_fields, TRUE);
 758     printf("\n");
 759     fflush(stdout);
 760
 761     /* If no capture filter or read filter has been specified, and there are
 762        still command-line arguments, treat them as the tokens of a capture
 763        filter (if no "-r" flag was specified) or a read filter (if a "-r"
 764        flag was specified. */
 765     if (optind < argc) {
 766         if (pipe_name != NULL) {
 767             if (n_rfilters != 0) {
 768                 cmdarg_err("Read filters were specified both with \"-R\" "
 769                            "and with additional command-line arguments");
 770                 exit(1);
 771             }
 772             rfilters[n_rfilters] = get_args_as_string(argc, argv, optind);
 773         }
 774     }
 775
 776     /* Make sure we got a dissector handle for our payload. */
 777     if (encap == WTAP_ENCAP_UNKNOWN) {
 778         cmdarg_err("No valid payload dissector specified.");
 779         exit(1);
 780     }
 781
 782     if (arg_error) {
 783         print_usage(stderr);
 784         exit(1);
 785     }
 786
 787
 788 #ifdef _WIN32
 789     /* Start windows sockets */
 790     WSAStartup( MAKEWORD( 1, 1 ), &wsaData );
 791 #endif /* _WIN32 */
 792
 793     /* At this point MATE will have registered its field array so we can
 794        have a tap filter with one of MATE's late-registered fields as part
 795        of the filter.  We can now process all the "-z" arguments. */
 796     start_requested_stats();
 797
 798     /* disabled protocols as per configuration file */
 799     if (gdp_path == NULL && dp_path == NULL) {
 800         set_disabled_protos_list();
 801         set_disabled_heur_dissector_list();
 802     }
 803
 804     /* Build the column format array */
 805     build_column_format_array(&cfile.cinfo, prefs_p->num_cols, TRUE);
 806
 807     if (n_rfilters != 0) {
 808         for (i = 0; i < n_rfilters; i++) {
 809             gchar *err_msg;
 810
 811             if (!dfilter_compile(rfilters[i], &rfcodes[n_rfcodes], &err_msg)) {
 812                 cmdarg_err("%s", err_msg);
 813                 g_free(err_msg);
 814                 epan_free(cfile.epan);
 815                 epan_cleanup();
 816                 exit(2);
 817             }
 818             n_rfcodes++;
 819         }
 820     }
 821
 822     if (pipe_name) {
 823         /*
 824          * We're reading a pipe (or capture file).
 825          */
 826
 827         /*
 828          * Immediately relinquish any special privileges we have; we must not
 829          * be allowed to read any capture files the user running Rawshark
 830          * can't open.
 831          */
 832         relinquish_special_privs_perm();
 833
 834         if (raw_cf_open(&cfile, pipe_name) != CF_OK) {
 835             epan_free(cfile.epan);
 836             epan_cleanup();
 837             exit(2);
 838         }
 839
 840         /* Do we need to PCAP header and magic? */
 841         if (skip_pcap_header) {
 842             size_t bytes_left = sizeof(struct pcap_hdr) + sizeof(guint32);
 843             gchar buf[sizeof(struct pcap_hdr) + sizeof(guint32)];
 844             while (bytes_left != 0) {
 845                 ssize_t bytes = read(fd, buf, (int)bytes_left);
 846                 if (bytes <= 0) {
 847                     cmdarg_err("Not enough bytes for pcap header.");
 848                     exit(2);
 849                 }
 850                 bytes_left -= bytes;
 851             }
 852         }
 853
 854         /* Process the packets in the file */
 855         if (!load_cap_file(&cfile)) {
 856             epan_free(cfile.epan);
 857             epan_cleanup();
 858             exit(2);
 859         }
 860     } else {
 861         /* If you want to capture live packets, use TShark. */
 862         cmdarg_err("Input file or pipe name not specified.");
 863         exit(2);
 864     }
 865
 866     epan_free(cfile.epan);
 867     epan_cleanup();
 868
 869     return 0;
 870 }
 871
 872 /**
 873  * Read data from a raw pipe.  The "raw" data consists of a libpcap
 874  * packet header followed by the payload.
 875  * @param pd [IN] A POSIX file descriptor.  Because that's _exactly_ the sort
 876  *           of thing you want to use in Windows.
 877  * @param phdr [OUT] Packet header information.
 878  * @param err [OUT] Error indicator.  Uses wiretap values.
 879  * @param err_info [OUT] Error message.
 880  * @param data_offset [OUT] data offset in the pipe.
 881  * @return TRUE on success, FALSE on failure.
 882  */
 883 static gboolean
 884 raw_pipe_read(struct wtap_pkthdr *phdr, guchar * pd, int *err, gchar **err_info, gint64 *data_offset) {
 885     struct pcap_pkthdr mem_hdr;
 886     struct pcaprec_hdr disk_hdr;
 887     ssize_t bytes_read = 0;
 888     size_t bytes_needed = sizeof(disk_hdr);
 889     guchar *ptr = (guchar*) &disk_hdr;
 890
 891     if (want_pcap_pkthdr) {
 892         bytes_needed = sizeof(mem_hdr);
 893         ptr = (guchar*) &mem_hdr;
 894     }
 895
 896     /* Copied from capture_loop.c */
 897     while (bytes_needed > 0) {
 898         bytes_read = read(fd, ptr, (int)bytes_needed);
 899         if (bytes_read == 0) {
 900             *err = 0;
 901             *err_info = NULL;
 902             return FALSE;
 903         } else if (bytes_read < 0) {
 904             *err = errno;
 905             *err_info = NULL;
 906             return FALSE;
 907         }
 908         bytes_needed -= bytes_read;
 909         *data_offset += bytes_read;
 910         ptr += bytes_read;
 911     }
 912
 913     if (want_pcap_pkthdr) {
 914         phdr->ts.secs = mem_hdr.ts.tv_sec;
 915         phdr->ts.nsecs = (gint32)mem_hdr.ts.tv_usec * 1000;
 916         phdr->caplen = mem_hdr.caplen;
 917         phdr->len = mem_hdr.len;
 918     } else {
 919         phdr->ts.secs = disk_hdr.ts_sec;
 920         phdr->ts.nsecs = disk_hdr.ts_usec * 1000;
 921         phdr->caplen = disk_hdr.incl_len;
 922         phdr->len = disk_hdr.orig_len;
 923     }
 924     bytes_needed = phdr->caplen;
 925
 926     phdr->pkt_encap = encap;
 927
 928 #if 0
 929     printf("mem_hdr: %lu disk_hdr: %lu\n", sizeof(mem_hdr), sizeof(disk_hdr));
 930     printf("tv_sec: %u (%04x)\n", (unsigned int) phdr->ts.secs, (unsigned int) phdr->ts.secs);
 931     printf("tv_nsec: %d (%04x)\n", phdr->ts.nsecs, phdr->ts.nsecs);
 932     printf("caplen: %d (%04x)\n", phdr->caplen, phdr->caplen);
 933     printf("len: %d (%04x)\n", phdr->len, phdr->len);
 934 #endif
 935     if (bytes_needed > WTAP_MAX_PACKET_SIZE) {
 936         *err = WTAP_ERR_BAD_FILE;
 937         *err_info = g_strdup_printf("Bad packet length: %lu\n",
 938                    (unsigned long) bytes_needed);
 939         return FALSE;
 940     }
 941
 942     ptr = pd;
 943     while (bytes_needed > 0) {
 944         bytes_read = read(fd, ptr, (int)bytes_needed);
 945         if (bytes_read == 0) {
 946             *err = WTAP_ERR_SHORT_READ;
 947             *err_info = NULL;
 948             return FALSE;
 949         } else if (bytes_read < 0) {
 950             *err = errno;
 951             *err_info = NULL;
 952             return FALSE;
 953         }
 954         bytes_needed -= bytes_read;
 955         *data_offset += bytes_read;
 956         ptr += bytes_read;
 957     }
 958     return TRUE;
 959 }
 960
 961 static gboolean
 962 load_cap_file(capture_file *cf)
 963 {
 964     int          err;
 965     gchar       *err_info;
 966     gint64       data_offset = 0;
 967
 968     guchar pd[WTAP_MAX_PACKET_SIZE];
 969     struct wtap_pkthdr phdr;
 970     epan_dissect_t edt;
 971
 972     wtap_phdr_init(&phdr);
 973
 974     epan_dissect_init(&edt, cf->epan, TRUE, FALSE);
 975
 976     while (raw_pipe_read(&phdr, pd, &err, &err_info, &data_offset)) {
 977         process_packet(cf, &edt, data_offset, &phdr, pd);
 978     }
 979
 980     epan_dissect_cleanup(&edt);
 981
 982     wtap_phdr_cleanup(&phdr);
 983
 984     if (err != 0) {
 985         /* Print a message noting that the read failed somewhere along the line. */
 986         switch (err) {
 987
 988             case WTAP_ERR_UNSUPPORTED:
 989                 cmdarg_err("The file \"%s\" contains record data that Rawshark doesn't support.\n(%s)",
 990                            cf->filename,
 991                            err_info != NULL ? err_info : "no information supplied");
 992                 g_free(err_info);
 993                 break;
 994
 995             case WTAP_ERR_SHORT_READ:
 996                 cmdarg_err("The file \"%s\" appears to have been cut short in the middle of a packet.",
 997                            cf->filename);
 998                 break;
 999
1000             case WTAP_ERR_BAD_FILE:
1001                 cmdarg_err("The file \"%s\" appears to be damaged or corrupt.\n(%s)",
1002                            cf->filename,
1003                            err_info != NULL ? err_info : "no information supplied");
1004                 g_free(err_info);
1005                 break;
1006
1007             case WTAP_ERR_DECOMPRESS:
1008                 cmdarg_err("The compressed file \"%s\" appears to be damaged or corrupt.\n(%s)",
1009                            cf->filename,
1010                            err_info != NULL ? err_info : "no information supplied");
1011                 g_free(err_info);
1012                 break;
1013
1014             default:
1015                 cmdarg_err("An error occurred while reading the file \"%s\": %s.",
1016                            cf->filename, wtap_strerror(err));
1017                 break;
1018         }
1019         return FALSE;
1020     }
1021
1022     return TRUE;
1023 }
1024
1025 static gboolean
1026 process_packet(capture_file *cf, epan_dissect_t *edt, gint64 offset,
1027                struct wtap_pkthdr *whdr, const guchar *pd)
1028 {
1029     frame_data fdata;
1030     gboolean passed;
1031     int i;
1032
1033     if(whdr->len == 0)
1034     {
1035         /* The user sends an empty packet when he wants to get output from us even if we don't currently have
1036            packets to process. We spit out a line with the timestamp and the text "void"
1037         */
1038         printf("%lu %lu %lu void -\n", (unsigned long int)cf->count,
1039                (unsigned long int)whdr->ts.secs,
1040                (unsigned long int)whdr->ts.nsecs);
1041
1042         fflush(stdout);
1043
1044         return FALSE;
1045     }
1046
1047     /* Count this packet. */
1048     cf->count++;
1049
1050     /* If we're going to print packet information, or we're going to
1051        run a read filter, or we're going to process taps, set up to
1052        do a dissection and do so. */
1053     frame_data_init(&fdata, cf->count, whdr, offset, cum_bytes);
1054
1055     passed = TRUE;
1056
1057     /* If we're running a read filter, prime the epan_dissect_t with that
1058        filter. */
1059     if (n_rfilters > 0) {
1060         for(i = 0; i < n_rfcodes; i++) {
1061             epan_dissect_prime_dfilter(edt, rfcodes[i]);
1062         }
1063     }
1064
1065     printf("%lu", (unsigned long int) cf->count);
1066
1067     frame_data_set_before_dissect(&fdata, &cf->elapsed_time,
1068                                   &ref, prev_dis);
1069
1070     if (ref == &fdata) {
1071        ref_frame = fdata;
1072        ref = &ref_frame;
1073     }
1074
1075     /* We only need the columns if we're printing packet info but we're
1076      *not* verbose; in verbose mode, we print the protocol tree, not
1077      the protocol summary. */
1078     epan_dissect_run_with_taps(edt, cf->cd_t, whdr, frame_tvbuff_new(&fdata, pd), &fdata, &cf->cinfo);
1079
1080     frame_data_set_after_dissect(&fdata, &cum_bytes);
1081     prev_dis_frame = fdata;
1082     prev_dis = &prev_dis_frame;
1083
1084     prev_cap_frame = fdata;
1085     prev_cap = &prev_cap_frame;
1086
1087     for(i = 0; i < n_rfilters; i++) {
1088         /* Run the read filter if we have one. */
1089         if (rfcodes[i])
1090             passed = dfilter_apply_edt(rfcodes[i], edt);
1091         else
1092             passed = TRUE;
1093
1094         /* Print a one-line summary */
1095         printf(" %u", passed ? 1 : 0);
1096     }
1097
1098     printf(" -\n");
1099
1100     /* The ANSI C standard does not appear to *require* that a line-buffered
1101        stream be flushed to the host environment whenever a newline is
1102        written, it just says that, on such a stream, characters "are
1103        intended to be transmitted to or from the host environment as a
1104        block when a new-line character is encountered".
1105
1106        The Visual C++ 6.0 C implementation doesn't do what is intended;
1107        even if you set a stream to be line-buffered, it still doesn't
1108        flush the buffer at the end of every line.
1109
1110        So, if the "-l" flag was specified, we flush the standard output
1111        at the end of a packet.  This will do the right thing if we're
1112        printing packet summary lines, and, as we print the entire protocol
1113        tree for a single packet without waiting for anything to happen,
1114        it should be as good as line-buffered mode if we're printing
1115        protocol trees.  (The whole reason for the "-l" flag in either
1116        tcpdump or Rawshark is to allow the output of a live capture to
1117        be piped to a program or script and to have that script see the
1118        information for the packet as soon as it's printed, rather than
1119        having to wait until a standard I/O buffer fills up. */
1120     if (line_buffered)
1121         fflush(stdout);
1122
1123     if (ferror(stdout)) {
1124         show_print_file_io_error(errno);
1125         exit(2);
1126     }
1127
1128     epan_dissect_reset(edt);
1129     frame_data_destroy(&fdata);
1130
1131     return passed;
1132 }
1133
1134 /****************************************************************************************
1135  * FIELD EXTRACTION ROUTINES
1136  ****************************************************************************************/
1137 typedef struct _pci_t {
1138     char *filter;
1139     int hf_index;
1140     int cmd_line_index;
1141 } pci_t;
1142
1143 static const char* ftenum_to_string(header_field_info *hfi)
1144 {
1145     if (!hfi) {
1146         return "n.a.";
1147     }
1148
1149     if (string_fmts->len > 0 && hfi->strings) {
1150         return "FT_STRING";
1151     }
1152
1153     switch(hfi->type) {
1154         case FT_NONE:
1155             return "FT_NONE";
1156         case FT_PROTOCOL:
1157             return "FT_PROTOCOL";
1158         case FT_BOOLEAN:
1159             return "FT_BOOLEAN";
1160         case FT_UINT8:
1161             return "FT_UINT8";
1162         case FT_UINT16:
1163             return "FT_UINT16";
1164         case FT_UINT24:
1165             return "FT_UINT24";
1166         case FT_UINT32:
1167             return "FT_UINT32";
1168         case FT_UINT64:
1169             return "FT_UINT64";
1170         case FT_INT8:
1171             return "FT_INT8";
1172         case FT_INT16:
1173             return "FT_INT16";
1174         case FT_INT24:
1175             return "FT_INT24";
1176         case FT_INT32:
1177             return "FT_INT32";
1178         case FT_INT64:
1179             return "FT_INT64";
1180         case FT_FLOAT:
1181             return "FT_FLOAT";
1182         case FT_DOUBLE:
1183             return "FT_DOUBLE";
1184         case FT_ABSOLUTE_TIME:
1185             return "FT_ABSOLUTE_TIME";
1186         case FT_RELATIVE_TIME:
1187             return "FT_RELATIVE_TIME";
1188         case FT_STRING:
1189             return "FT_STRING";
1190         case FT_STRINGZ:
1191             return "FT_STRINGZ";
1192         case FT_UINT_STRING:
1193             return "FT_UINT_STRING";
1194         case FT_ETHER:
1195             return "FT_ETHER";
1196         case FT_BYTES:
1197             return "FT_BYTES";
1198         case FT_UINT_BYTES:
1199             return "FT_UINT_BYTES";
1200         case FT_IPv4:
1201             return "FT_IPv4";
1202         case FT_IPv6:
1203             return "FT_IPv6";
1204         case FT_IPXNET:
1205             return "FT_IPXNET";
1206         case FT_FRAMENUM:
1207             return "FT_FRAMENUM";
1208         case FT_PCRE:
1209             return "FT_PCRE";
1210         case FT_GUID:
1211             return "FT_GUID";
1212         case FT_OID:
1213             return "FT_OID";
1214         case FT_REL_OID:
1215             return "FT_REL_OID";
1216         case FT_SYSTEM_ID:
1217             return "FT_SYSTEM_ID";
1218         case FT_STRINGZPAD:
1219             return "FT_STRIGZPAD";
1220         case FT_NUM_TYPES:
1221             return "FT_NUM_TYPES";
1222         default:
1223             return "n.a.";
1224     };
1225 }
1226
1227 static const char* absolute_time_display_e_to_string(absolute_time_display_e atd)
1228 {
1229     switch(atd) {
1230         case ABSOLUTE_TIME_LOCAL:
1231             return "ABSOLUTE_TIME_LOCAL";
1232         case ABSOLUTE_TIME_UTC:
1233             return "ABSOLUTE_TIME_UTC";
1234         default:
1235             return "n.a.";
1236     }
1237 }
1238
1239 static const char* field_display_e_to_string(field_display_e bd)
1240 {
1241     switch(bd) {
1242         case BASE_NONE:
1243             return "BASE_NONE";
1244         case BASE_DEC:
1245             return "BASE_DEC";
1246         case BASE_HEX:
1247             return "BASE_HEX";
1248         case BASE_OCT:
1249             return "BASE_OCT";
1250         case BASE_DEC_HEX:
1251             return "BASE_DEC_HEX";
1252         case BASE_HEX_DEC:
1253             return "BASE_HEX_DEC";
1254         default:
1255             return "n.a.";
1256     }
1257 }
1258
1259 /*
1260  * Copied from various parts of proto.c
1261  */
1262 #define FIELD_STR_INIT_LEN 256
1263 #define cVALS(x) (const value_string*)(x)
1264 static gboolean print_field_value(field_info *finfo, int cmd_line_index)
1265 {
1266     header_field_info   *hfinfo;
1267     static char         *fs_buf = NULL;
1268     char                *fs_ptr = fs_buf;
1269     static GString     *label_s = NULL;
1270     int                 fs_buf_len = FIELD_STR_INIT_LEN, fs_len;
1271     guint              i;
1272     string_fmt_t       *sf;
1273     guint32            uvalue;
1274     gint32             svalue;
1275     guint64            uvalue64;
1276     gint64             svalue64;
1277     const true_false_string *tfstring = &tfs_true_false;
1278
1279     hfinfo = finfo->hfinfo;
1280
1281     if (!fs_buf) {
1282         fs_buf = (char *)g_malloc(fs_buf_len + 1);
1283         fs_ptr = fs_buf;
1284     }
1285
1286     if (!label_s) {
1287         label_s = g_string_new("");
1288     }
1289
1290     if(finfo->value.ftype->val_to_string_repr)
1291     {
1292         /*
1293          * this field has an associated value,
1294          * e.g: ip.hdr_len
1295          */
1296         fs_len = fvalue_string_repr_len(&finfo->value, FTREPR_DFILTER, finfo->hfinfo->display);
1297         while (fs_buf_len < fs_len) {
1298             fs_buf_len *= 2;
1299             fs_buf = (char *)g_realloc(fs_buf, fs_buf_len + 1);
1300             fs_ptr = fs_buf;
1301         }
1302         fvalue_to_string_repr(&finfo->value,
1303                               FTREPR_DFILTER, finfo->hfinfo->display,
1304                               fs_buf);
1305
1306         /* String types are quoted. Remove them. */
1307         if (IS_FT_STRING(finfo->value.ftype->ftype) && fs_len > 2) {
1308             fs_buf[fs_len - 1] = '\0';
1309             fs_ptr++;
1310         }
1311     }
1312
1313     if (string_fmts->len > 0 && finfo->hfinfo->strings) {
1314         g_string_truncate(label_s, 0);
1315         for (i = 0; i < string_fmts->len; i++) {
1316             sf = (string_fmt_t *)g_ptr_array_index(string_fmts, i);
1317             if (sf->plain) {
1318                 g_string_append(label_s, sf->plain);
1319             } else {
1320                 switch (sf->format) {
1321                     case SF_NAME:
1322                         g_string_append(label_s, hfinfo->name);
1323                         break;
1324                     case SF_NUMVAL:
1325                         g_string_append(label_s, fs_ptr);
1326                         break;
1327                     case SF_STRVAL:
1328                         switch(hfinfo->type) {
1329                             case FT_BOOLEAN:
1330                                 uvalue = fvalue_get_uinteger(&finfo->value);
1331                                 tfstring = (const struct true_false_string*) hfinfo->strings;
1332                                 g_string_append(label_s, uvalue ? tfstring->true_string : tfstring->false_string);
1333                                 break;
1334                             case FT_INT8:
1335                             case FT_INT16:
1336                             case FT_INT24:
1337                             case FT_INT32:
1338                                 DISSECTOR_ASSERT(!hfinfo->bitmask);
1339                                 svalue = fvalue_get_sinteger(&finfo->value);
1340                                 if (hfinfo->display & BASE_RANGE_STRING) {
1341                                     g_string_append(label_s, rval_to_str_const(svalue, RVALS(hfinfo->strings), "Unknown"));
1342                                 } else if (hfinfo->display & BASE_EXT_STRING) {
1343                                     g_string_append(label_s, val_to_str_ext_const(svalue, (value_string_ext *) hfinfo->strings, "Unknown"));
1344                                 } else {
1345                                     g_string_append(label_s, val_to_str_const(svalue, cVALS(hfinfo->strings), "Unknown"));
1346                                 }
1347                                 break;
1348                             case FT_INT40: /* XXX: Shouldn't these be as smart as FT_INT{8,16,24,32}? */
1349                             case FT_INT48:
1350                             case FT_INT56:
1351                             case FT_INT64:
1352                                 DISSECTOR_ASSERT(!hfinfo->bitmask);
1353                                 svalue64 = (gint64)fvalue_get_sinteger64(&finfo->value);
1354                                 if (hfinfo->display & BASE_VAL64_STRING) {
1355                                     g_string_append(label_s, val64_to_str_const(svalue64, (const val64_string *)(hfinfo->strings), "Unknown"));
1356                                 }
1357                                 break;
1358                             case FT_UINT8:
1359                             case FT_UINT16:
1360                             case FT_UINT24:
1361                             case FT_UINT32:
1362                                 DISSECTOR_ASSERT(!hfinfo->bitmask);
1363                                 uvalue = fvalue_get_uinteger(&finfo->value);
1364                                 if (!hfinfo->bitmask && hfinfo->display & BASE_RANGE_STRING) {
1365                                     g_string_append(label_s, rval_to_str_const(uvalue, RVALS(hfinfo->strings), "Unknown"));
1366                                 } else if (hfinfo->display & BASE_EXT_STRING) {
1367                                     g_string_append(label_s, val_to_str_ext_const(uvalue, (value_string_ext *) hfinfo->strings, "Unknown"));
1368                                 } else {
1369                                     g_string_append(label_s, val_to_str_const(uvalue, cVALS(hfinfo->strings), "Unknown"));
1370                                 }
1371                                 break;
1372                             case FT_UINT40: /* XXX: Shouldn't these be as smart as FT_INT{8,16,24,32}? */
1373                             case FT_UINT48:
1374                             case FT_UINT56:
1375                             case FT_UINT64:
1376                                 DISSECTOR_ASSERT(!hfinfo->bitmask);
1377                                 uvalue64 = fvalue_get_uinteger64(&finfo->value);
1378                                 if (hfinfo->display & BASE_VAL64_STRING) {
1379                                     g_string_append(label_s, val64_to_str_const(uvalue64, (const val64_string *)(hfinfo->strings), "Unknown"));
1380                                 }
1381                                 break;
1382                             default:
1383                                 break;
1384                         }
1385                         break;
1386                     default:
1387                         break;
1388                 }
1389             }
1390         }
1391         printf(" %d=\"%s\"", cmd_line_index, label_s->str);
1392         return TRUE;
1393     }
1394
1395     if(finfo->value.ftype->val_to_string_repr)
1396     {
1397         printf(" %d=\"%s\"", cmd_line_index, fs_ptr);
1398         return TRUE;
1399     }
1400
1401     /*
1402      * This field doesn't have an associated value,
1403      * e.g. http
1404      * We return n.a.
1405      */
1406     printf(" %d=\"n.a.\"", cmd_line_index);
1407     return TRUE;
1408 }
1409
1410 static int
1411 protocolinfo_packet(void *prs, packet_info *pinfo _U_, epan_dissect_t *edt, const void *dummy _U_)
1412 {
1413     pci_t *rs=(pci_t *)prs;
1414     GPtrArray *gp;
1415     guint i;
1416
1417     gp=proto_get_finfo_ptr_array(edt->tree, rs->hf_index);
1418     if(!gp){
1419         printf(" n.a.");
1420         return 0;
1421     }
1422
1423     /*
1424      * Print each occurrence of the field
1425      */
1426     for (i = 0; i < gp->len; i++) {
1427         print_field_value((field_info *)gp->pdata[i], rs->cmd_line_index);
1428     }
1429
1430     return 0;
1431 }
1432
1433 int g_cmd_line_index = 0;
1434
1435 /*
1436  * field must be persistent - we don't g_strdup() it below
1437  */
1438 static void
1439 protocolinfo_init(char *field)
1440 {
1441     pci_t *rs;
1442     header_field_info *hfi;
1443     GString *error_string;
1444
1445     hfi=proto_registrar_get_byname(field);
1446     if(!hfi){
1447         fprintf(stderr, "rawshark: Field \"%s\" doesn't exist.\n", field);
1448         exit(1);
1449     }
1450
1451     switch (hfi->type) {
1452
1453         case FT_ABSOLUTE_TIME:
1454             printf("%d %s %s - ",
1455                    g_cmd_line_index,
1456                    ftenum_to_string(hfi),
1457                    absolute_time_display_e_to_string((absolute_time_display_e)hfi->display));
1458             break;
1459
1460         default:
1461             printf("%d %s %s - ",
1462                    g_cmd_line_index,
1463                    ftenum_to_string(hfi),
1464                    field_display_e_to_string((field_display_e)hfi->display));
1465             break;
1466     }
1467
1468     rs=(pci_t *)g_malloc(sizeof(pci_t));
1469     rs->hf_index=hfi->id;
1470     rs->filter=field;
1471     rs->cmd_line_index = g_cmd_line_index++;
1472
1473     error_string=register_tap_listener("frame", rs, rs->filter, TL_REQUIRES_PROTO_TREE, NULL, protocolinfo_packet, NULL);
1474     if(error_string){
1475         /* error, we failed to attach to the tap. complain and clean up */
1476         fprintf(stderr, "rawshark: Couldn't register field extraction tap: %s\n",
1477                 error_string->str);
1478         g_string_free(error_string, TRUE);
1479         if(rs->filter){
1480             g_free(rs->filter);
1481         }
1482         g_free(rs);
1483
1484         exit(1);
1485     }
1486 }
1487
1488 /*
1489  * Given a format string, split it into a GPtrArray of string_fmt_t structs
1490  * and fill in string_fmt_parts.
1491  */
1492
1493 static void
1494 add_string_fmt(string_fmt_e format, gchar *plain) {
1495     string_fmt_t *sf = (string_fmt_t *)g_malloc(sizeof(string_fmt_t));
1496
1497     sf->format = format;
1498     sf->plain = g_strdup(plain);
1499
1500     g_ptr_array_add(string_fmts, sf);
1501 }
1502
1503 static gboolean
1504 parse_field_string_format(gchar *format) {
1505     GString *plain_s = g_string_new("");
1506     size_t len;
1507     size_t pos = 0;
1508
1509     if (!format) {
1510         return FALSE;
1511     }
1512
1513     len = strlen(format);
1514     g_ptr_array_set_size(string_fmts, 0);
1515
1516     while (pos < len) {
1517         if (format[pos] == '%') {
1518             if (pos >= len) { /* There should always be a following character */
1519                 return FALSE;
1520             }
1521             pos++;
1522             if (plain_s->len > 0) {
1523                 add_string_fmt(SF_NONE, plain_s->str);
1524                 g_string_truncate(plain_s, 0);
1525             }
1526             switch (format[pos]) {
1527                 case 'D':
1528                     add_string_fmt(SF_NAME, NULL);
1529                     break;
1530                 case 'N':
1531                     add_string_fmt(SF_NUMVAL, NULL);
1532                     break;
1533                 case 'S':
1534                     add_string_fmt(SF_STRVAL, NULL);
1535                     break;
1536                 case '%':
1537                     g_string_append_c(plain_s, '%');
1538                     break;
1539                 default: /* Invalid format */
1540                     return FALSE;
1541             }
1542         } else {
1543             g_string_append_c(plain_s, format[pos]);
1544         }
1545         pos++;
1546     }
1547
1548     if (plain_s->len > 0) {
1549         add_string_fmt(SF_NONE, plain_s->str);
1550     }
1551     g_string_free(plain_s, TRUE);
1552
1553     return TRUE;
1554 }
1555 /****************************************************************************************
1556  * END OF FIELD EXTRACTION ROUTINES
1557  ****************************************************************************************/
1558
1559 static void
1560 show_print_file_io_error(int err)
1561 {
1562     switch (err) {
1563
1564         case ENOSPC:
1565             cmdarg_err("Not all the packets could be printed because there is "
1566                        "no space left on the file system.");
1567             break;
1568
1569 #ifdef EDQUOT
1570         case EDQUOT:
1571             cmdarg_err("Not all the packets could be printed because you are "
1572                        "too close to, or over your disk quota.");
1573             break;
1574 #endif
1575
1576         default:
1577             cmdarg_err("An error occurred while printing packets: %s.",
1578                        g_strerror(err));
1579             break;
1580     }
1581 }
1582
1583 /*
1584  * Open/create errors are reported with an console message in Rawshark.
1585  */
1586 static void
1587 open_failure_message(const char *filename, int err, gboolean for_writing)
1588 {
1589     fprintf(stderr, "rawshark: ");
1590     fprintf(stderr, file_open_error_message(err, for_writing), filename);
1591     fprintf(stderr, "\n");
1592 }
1593
1594 static const nstime_t *
1595 raw_get_frame_ts(void *data _U_, guint32 frame_num)
1596 {
1597     if (ref && ref->num == frame_num)
1598         return &ref->abs_ts;
1599
1600     if (prev_dis && prev_dis->num == frame_num)
1601         return &prev_dis->abs_ts;
1602
1603     if (prev_cap && prev_cap->num == frame_num)
1604         return &prev_cap->abs_ts;
1605
1606     return NULL;
1607 }
1608
1609 static epan_t *
1610 raw_epan_new(capture_file *cf)
1611 {
1612     epan_t *epan = epan_new();
1613
1614     epan->data = cf;
1615     epan->get_frame_ts = raw_get_frame_ts;
1616     epan->get_interface_name = cap_file_get_interface_name;
1617     epan->get_user_comment = NULL;
1618
1619     return epan;
1620 }
1621
1622 cf_status_t
1623 raw_cf_open(capture_file *cf, const char *fname)
1624 {
1625     if ((fd = raw_pipe_open(fname)) < 0)
1626         return CF_ERROR;
1627
1628     /* The open succeeded.  Fill in the information for this file. */
1629
1630     /* Create new epan session for dissection. */
1631     epan_free(cf->epan);
1632     cf->epan = raw_epan_new(cf);
1633
1634     cf->wth = NULL;
1635     cf->f_datalen = 0; /* not used, but set it anyway */
1636
1637     /* Set the file name because we need it to set the follow stream filter.
1638        XXX - is that still true?  We need it for other reasons, though,
1639        in any case. */
1640     cf->filename = g_strdup(fname);
1641
1642     /* Indicate whether it's a permanent or temporary file. */
1643     cf->is_tempfile = FALSE;
1644
1645     /* No user changes yet. */
1646     cf->unsaved_changes = FALSE;
1647
1648     cf->cd_t      = WTAP_FILE_TYPE_SUBTYPE_UNKNOWN;
1649     cf->open_type = WTAP_TYPE_AUTO;
1650     cf->count     = 0;
1651     cf->drops_known = FALSE;
1652     cf->drops     = 0;
1653     cf->has_snap = FALSE;
1654     cf->snap = WTAP_MAX_PACKET_SIZE;
1655     nstime_set_zero(&cf->elapsed_time);
1656     ref = NULL;
1657     prev_dis = NULL;
1658     prev_cap = NULL;
1659
1660     return CF_OK;
1661 }
1662
1663
1664 /*
1665  * General errors are reported with an console message in Rawshark.
1666  */
1667 static void
1668 failure_message(const char *msg_format, va_list ap)
1669 {
1670     fprintf(stderr, "rawshark: ");
1671     vfprintf(stderr, msg_format, ap);
1672     fprintf(stderr, "\n");
1673 }
1674
1675 /*
1676  * Read errors are reported with an console message in Rawshark.
1677  */
1678 static void
1679 read_failure_message(const char *filename, int err)
1680 {
1681     cmdarg_err("An error occurred while reading from the file \"%s\": %s.",
1682                filename, g_strerror(err));
1683 }
1684
1685 /*
1686  * Write errors are reported with an console message in Rawshark.
1687  */
1688 static void
1689 write_failure_message(const char *filename, int err)
1690 {
1691     cmdarg_err("An error occurred while writing to the file \"%s\": %s.",
1692                filename, g_strerror(err));
1693 }
1694
1695 /*
1696  * Report an error in command-line arguments.
1697  */
1698 static void
1699 rawshark_cmdarg_err(const char *fmt, va_list ap)
1700 {
1701     fprintf(stderr, "rawshark: ");
1702     vfprintf(stderr, fmt, ap);
1703     fprintf(stderr, "\n");
1704 }
1705
1706 /*
1707  * Report additional information for an error in command-line arguments.
1708  */
1709 static void
1710 rawshark_cmdarg_err_cont(const char *fmt, va_list ap)
1711 {
1712     vfprintf(stderr, fmt, ap);
1713     fprintf(stderr, "\n");
1714 }
1715
1716 /*
1717  * Editor modelines
1718  *
1719  * Local Variables:
1720  * c-basic-offset: 4
1721  * tab-width: 8
1722  * indent-tabs-mode: nil
1723  * End:
1724  *
1725  * ex: set shiftwidth=4 tabstop=8 expandtab:
1726  * :indentSize=4:tabSize=8:noTabs=true:
1727  */