rawshark.c

   1 /* rawshark.c
   2  *
   3  * Wireshark - Network traffic analyzer
   4  * By Gerald Combs <gerald@wireshark.org>
   5  * Copyright 1998 Gerald Combs
   6  *
   7  * Rawshark - Raw field extractor by Gerald Combs <gerald@wireshark.org>
   8  * and Loris Degioanni <loris.degioanni@cacetech.com>
   9  * Based on TShark, by Gilbert Ramirez <gram@alumni.rice.edu> and Guy Harris
  10  * <guy@alum.mit.edu>.
  11  *
  12  * This program is free software; you can redistribute it and/or
  13  * modify it under the terms of the GNU General Public License
  14  * as published by the Free Software Foundation; either version 2
  15  * of the License, or (at your option) any later version.
  16  *
  17  * This program is distributed in the hope that it will be useful,
  18  * but WITHOUT ANY WARRANTY; without even the implied warranty of
  19  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  20  * GNU General Public License for more details.
  21  *
  22  * You should have received a copy of the GNU General Public License
  23  * along with this program; if not, write to the Free Software
  24  * Foundation, Inc., 51 Franklin Street, Fifth Floor, Boston, MA 02110-1301 USA.
  25  */
  26
  27 /*
  28  * Rawshark does the following:
  29  * - Opens a specified file or named pipe
  30  * - Applies a specfied DLT or "decode as" encapsulation
  31  * - Reads frames prepended with a libpcap packet header.
  32  * - Prints a status line, followed by fields from a specified list.
  33  */
  34
  35 #include <config.h>
  36
  37 #include <stdlib.h>
  38 #include <stdio.h>
  39 #include <string.h>
  40 #include <locale.h>
  41 #include <limits.h>
  42
  43 #ifdef HAVE_UNISTD_H
  44 #include <unistd.h>
  45 #endif
  46
  47 #ifdef HAVE_GETOPT_H
  48 #include <getopt.h>
  49 #endif
  50
  51 #include <errno.h>
  52
  53 #ifdef HAVE_FCNTL_H
  54 #include <fcntl.h>
  55 #endif
  56
  57 #ifdef HAVE_SYS_STAT_H
  58 # include <sys/stat.h>
  59 #endif
  60
  61 #ifndef HAVE_GETOPT_LONG
  62 #include "wsutil/wsgetopt.h"
  63 #endif
  64
  65 #include <glib.h>
  66 #include <epan/epan-int.h>
  67 #include <epan/epan.h>
  68
  69 #include <wsutil/cmdarg_err.h>
  70 #include <wsutil/crash_info.h>
  71 #include <wsutil/filesystem.h>
  72 #include <wsutil/file_util.h>
  73 #include <wsutil/plugins.h>
  74 #include <wsutil/privileges.h>
  75 #include <wsutil/report_err.h>
  76 #include <wsutil/ws_diag_control.h>
  77
  78 #include "globals.h"
  79 #include <epan/packet.h>
  80 #include <epan/ftypes/ftypes-int.h>
  81 #include "file.h"
  82 #include "frame_tvbuff.h"
  83 #include <epan/disabled_protos.h>
  84 #include <epan/prefs.h>
  85 #include <epan/column.h>
  86 #include <epan/print.h>
  87 #include <epan/addr_resolv.h>
  88 #ifdef HAVE_LIBPCAP
  89 #include "ui/capture_ui_utils.h"
  90 #endif
  91 #include "ui/util.h"
  92 #include "register.h"
  93 #include "conditions.h"
  94 #include "capture_stop_conditions.h"
  95 #include <epan/epan_dissect.h>
  96 #include <epan/stat_tap_ui.h>
  97 #include <epan/timestamp.h>
  98 #include <wsutil/unicode-utils.h>
  99 #include "epan/column-utils.h"
 100 #include "epan/proto.h"
 101 #include <epan/tap.h>
 102
 103 #include <wiretap/wtap.h>
 104 #include <wiretap/libpcap.h>
 105 #include <wiretap/pcap-encap.h>
 106
 107 #include <wsutil/clopts_common.h>
 108 #include <wsutil/ws_version_info.h>
 109
 110 #include "caputils/capture-pcap-util.h"
 111
 112 #ifdef HAVE_LIBPCAP
 113 #include <setjmp.h>
 114 #ifdef _WIN32
 115 #include "caputils/capture-wpcap.h"
 116 #endif /* _WIN32 */
 117 #endif /* HAVE_LIBPCAP */
 118 #include "log.h"
 119
 120 #if 0
 121 /*
 122  * This is the template for the decode as option; it is shared between the
 123  * various functions that output the usage for this parameter.
 124  */
 125 static const gchar decode_as_arg_template[] = "<layer_type>==<selector>,<decode_as_protocol>";
 126 #endif
 127
 128 static guint32 cum_bytes;
 129 static const frame_data *ref;
 130 static frame_data ref_frame;
 131 static frame_data *prev_dis;
 132 static frame_data prev_dis_frame;
 133 static frame_data *prev_cap;
 134 static frame_data prev_cap_frame;
 135
 136 /*
 137  * The way the packet decode is to be written.
 138  */
 139 typedef enum {
 140     WRITE_TEXT, /* summary or detail text */
 141     WRITE_XML   /* PDML or PSML */
 142     /* Add CSV and the like here */
 143 } output_action_e;
 144
 145 static gboolean line_buffered;
 146 static print_format_e print_format = PR_FMT_TEXT;
 147
 148 static gboolean want_pcap_pkthdr;
 149
 150 cf_status_t raw_cf_open(capture_file *cf, const char *fname);
 151 static gboolean load_cap_file(capture_file *cf);
 152 static gboolean process_packet(capture_file *cf, epan_dissect_t *edt, gint64 offset,
 153                                struct wtap_pkthdr *whdr, const guchar *pd);
 154 static void show_print_file_io_error(int err);
 155
 156 static void open_failure_message(const char *filename, int err,
 157                                  gboolean for_writing);
 158 static void failure_message(const char *msg_format, va_list ap);
 159 static void read_failure_message(const char *filename, int err);
 160 static void write_failure_message(const char *filename, int err);
 161 static void rawshark_cmdarg_err(const char *fmt, va_list ap);
 162 static void rawshark_cmdarg_err_cont(const char *fmt, va_list ap);
 163 static void protocolinfo_init(char *field);
 164 static gboolean parse_field_string_format(char *format);
 165
 166 typedef enum {
 167     SF_NONE,    /* No format (placeholder) */
 168     SF_NAME,    /* %D Field name / description */
 169     SF_NUMVAL,  /* %N Numeric value */
 170     SF_STRVAL   /* %S String value */
 171 } string_fmt_e;
 172
 173 typedef struct string_fmt_s {
 174     gchar *plain;
 175     string_fmt_e format;    /* Valid if plain is NULL */
 176 } string_fmt_t;
 177
 178 capture_file cfile;
 179 int n_rfilters;
 180 int n_rfcodes;
 181 dfilter_t *rfcodes[64];
 182 int n_rfieldfilters;
 183 dfilter_t *rfieldfcodes[64];
 184 int fd;
 185 int encap;
 186 GPtrArray *string_fmts;
 187
 188 static void
 189 print_usage(FILE *output)
 190 {
 191     fprintf(output, "\n");
 192     fprintf(output, "Usage: rawshark [options] ...\n");
 193     fprintf(output, "\n");
 194
 195     fprintf(output, "Input file:\n");
 196     fprintf(output, "  -r <infile>              set the pipe or file name to read from\n");
 197
 198     fprintf(output, "\n");
 199     fprintf(output, "Processing:\n");
 200     fprintf(output, "  -d <encap:linktype>|<proto:protoname>\n");
 201     fprintf(output, "                           packet encapsulation or protocol\n");
 202     fprintf(output, "  -F <field>               field to display\n");
 203     fprintf(output, "  -n                       disable all name resolution (def: all enabled)\n");
 204     fprintf(output, "  -N <name resolve flags>  enable specific name resolution(s): \"mntC\"\n");
 205     fprintf(output, "  -p                       use the system's packet header format\n");
 206     fprintf(output, "                           (which may have 64-bit timestamps)\n");
 207     fprintf(output, "  -R <read filter>         packet filter in Wireshark display filter syntax\n");
 208     fprintf(output, "  -s                       skip PCAP header on input\n");
 209
 210     fprintf(output, "\n");
 211     fprintf(output, "Output:\n");
 212     fprintf(output, "  -l                       flush output after each packet\n");
 213     fprintf(output, "  -S                       format string for fields\n");
 214     fprintf(output, "                           (%%D - name, %%S - stringval, %%N numval)\n");
 215     fprintf(output, "  -t ad|a|r|d|dd|e         output format of time stamps (def: r: rel. to first)\n");
 216
 217     fprintf(output, "\n");
 218     fprintf(output, "Miscellaneous:\n");
 219     fprintf(output, "  -h                       display this help and exit\n");
 220     fprintf(output, "  -o <name>:<value> ...    override preference setting\n");
 221     fprintf(output, "  -v                       display version info and exit\n");
 222 }
 223
 224 static void
 225 log_func_ignore (const gchar *log_domain _U_, GLogLevelFlags log_level _U_,
 226                  const gchar *message _U_, gpointer user_data _U_)
 227 {
 228 }
 229
 230 /**
 231  * Open a pipe for raw input.  This is a stripped-down version of
 232  * pcap_loop.c:cap_pipe_open_live().
 233  * We check if "pipe_name" is "-" (stdin) or a FIFO, and open it.
 234  * @param pipe_name The name of the pipe or FIFO.
 235  * @return A POSIX file descriptor on success, or -1 on failure.
 236  */
 237 static int
 238 raw_pipe_open(const char *pipe_name)
 239 {
 240 #ifndef _WIN32
 241     ws_statb64 pipe_stat;
 242 #else
 243     char *pncopy, *pos = NULL;
 244     DWORD err;
 245     wchar_t *err_str;
 246     HANDLE hPipe = NULL;
 247 #endif
 248     int          rfd;
 249
 250     g_log(LOG_DOMAIN_CAPTURE_CHILD, G_LOG_LEVEL_DEBUG, "open_raw_pipe: %s", pipe_name);
 251
 252     /*
 253      * XXX Rawshark blocks until we return
 254      */
 255     if (strcmp(pipe_name, "-") == 0) {
 256         rfd = 0; /* read from stdin */
 257 #ifdef _WIN32
 258         /*
 259          * This is needed to set the stdin pipe into binary mode, otherwise
 260          * CR/LF are mangled...
 261          */
 262         _setmode(0, _O_BINARY);
 263 #endif  /* _WIN32 */
 264     } else {
 265 #ifndef _WIN32
 266         if (ws_stat64(pipe_name, &pipe_stat) < 0) {
 267             fprintf(stderr, "rawshark: The pipe %s could not be checked: %s\n",
 268                     pipe_name, g_strerror(errno));
 269             return -1;
 270         }
 271         if (! S_ISFIFO(pipe_stat.st_mode)) {
 272             if (S_ISCHR(pipe_stat.st_mode)) {
 273                 /*
 274                  * Assume the user specified an interface on a system where
 275                  * interfaces are in /dev.  Pretend we haven't seen it.
 276                  */
 277             } else
 278             {
 279                 fprintf(stderr, "rawshark: \"%s\" is neither an interface nor a pipe\n",
 280                         pipe_name);
 281             }
 282             return -1;
 283         }
 284         rfd = ws_open(pipe_name, O_RDONLY | O_NONBLOCK, 0000 /* no creation so don't matter */);
 285         if (rfd == -1) {
 286             fprintf(stderr, "rawshark: \"%s\" could not be opened: %s\n",
 287                     pipe_name, g_strerror(errno));
 288             return -1;
 289         }
 290 #else /* _WIN32 */
 291 #define PIPE_STR "\\pipe\\"
 292         /* Under Windows, named pipes _must_ have the form
 293          * "\\<server>\pipe\<pipe_name>".  <server> may be "." for localhost.
 294          */
 295         pncopy = g_strdup(pipe_name);
 296         if (strstr(pncopy, "\\\\") == pncopy) {
 297             pos = strchr(pncopy + 3, '\\');
 298             if (pos && g_ascii_strncasecmp(pos, PIPE_STR, strlen(PIPE_STR)) != 0)
 299                 pos = NULL;
 300         }
 301
 302         g_free(pncopy);
 303
 304         if (!pos) {
 305             fprintf(stderr, "rawshark: \"%s\" is neither an interface nor a pipe\n",
 306                     pipe_name);
 307             return -1;
 308         }
 309
 310         /* Wait for the pipe to appear */
 311         while (1) {
 312             hPipe = CreateFile(utf_8to16(pipe_name), GENERIC_READ, 0, NULL,
 313                                OPEN_EXISTING, 0, NULL);
 314
 315             if (hPipe != INVALID_HANDLE_VALUE)
 316                 break;
 317
 318             err = GetLastError();
 319             if (err != ERROR_PIPE_BUSY) {
 320                 FormatMessage(FORMAT_MESSAGE_FROM_SYSTEM | FORMAT_MESSAGE_ALLOCATE_BUFFER | FORMAT_MESSAGE_IGNORE_INSERTS,
 321                               NULL, err, 0, (LPTSTR) &err_str, 0, NULL);
 322                 fprintf(stderr, "rawshark: \"%s\" could not be opened: %s (error %lu)\n",
 323                         pipe_name, utf_16to8(err_str), err);
 324                 LocalFree(err_str);
 325                 return -1;
 326             }
 327
 328             if (!WaitNamedPipe(utf_8to16(pipe_name), 30 * 1000)) {
 329                 err = GetLastError();
 330                 FormatMessage(FORMAT_MESSAGE_FROM_SYSTEM | FORMAT_MESSAGE_ALLOCATE_BUFFER | FORMAT_MESSAGE_IGNORE_INSERTS,
 331                               NULL, err, 0, (LPTSTR) &err_str, 0, NULL);
 332                 fprintf(stderr, "rawshark: \"%s\" could not be waited for: %s (error %lu)\n",
 333                         pipe_name, utf_16to8(err_str), err);
 334                 LocalFree(err_str);
 335                 return -1;
 336             }
 337         }
 338
 339         rfd = _open_osfhandle((intptr_t) hPipe, _O_RDONLY);
 340         if (rfd == -1) {
 341             fprintf(stderr, "rawshark: \"%s\" could not be opened: %s\n",
 342                     pipe_name, g_strerror(errno));
 343             return -1;
 344         }
 345 #endif /* _WIN32 */
 346     }
 347
 348     return rfd;
 349 }
 350
 351 /**
 352  * Parse a link-type argument of the form "encap:<pcap linktype>" or
 353  * "proto:<proto name>".  "Pcap linktype" must be a name conforming to
 354  * pcap_datalink_name_to_val() or an integer; the integer should be
 355  * a LINKTYPE_ value supported by Wiretap.  "Proto name" must be
 356  * a protocol name, e.g. "http".
 357  */
 358 static gboolean
 359 set_link_type(const char *lt_arg) {
 360     char *spec_ptr = strchr(lt_arg, ':');
 361     char *p;
 362     int dlt_val;
 363     long val;
 364     dissector_handle_t dhandle;
 365     GString *pref_str;
 366
 367     if (!spec_ptr)
 368         return FALSE;
 369
 370     spec_ptr++;
 371
 372     if (strncmp(lt_arg, "encap:", strlen("encap:")) == 0) {
 373         dlt_val = linktype_name_to_val(spec_ptr);
 374         if (dlt_val == -1) {
 375             errno = 0;
 376             val = strtol(spec_ptr, &p, 10);
 377             if (p == spec_ptr || *p != '\0' || errno != 0 || val > INT_MAX) {
 378                 return FALSE;
 379             }
 380             dlt_val = (int)val;
 381         }
 382         /*
 383          * In those cases where a given link-layer header type
 384          * has different LINKTYPE_ and DLT_ values, linktype_name_to_val()
 385          * will return the OS's DLT_ value for that link-layer header
 386          * type, not its OS-independent LINKTYPE_ value.
 387          *
 388          * On a given OS, wtap_pcap_encap_to_wtap_encap() should
 389          * be able to map either LINKTYPE_ values or DLT_ values
 390          * for the OS to the appropriate Wiretap encapsulation.
 391          */
 392         encap = wtap_pcap_encap_to_wtap_encap(dlt_val);
 393         if (encap == WTAP_ENCAP_UNKNOWN) {
 394             return FALSE;
 395         }
 396         return TRUE;
 397     } else if (strncmp(lt_arg, "proto:", strlen("proto:")) == 0) {
 398         dhandle = find_dissector(spec_ptr);
 399         if (dhandle) {
 400             encap = WTAP_ENCAP_USER0;
 401             pref_str = g_string_new("uat:user_dlts:");
 402             /* This must match the format used in the user_dlts file */
 403             g_string_append_printf(pref_str,
 404                                    "\"User 0 (DLT=147)\",\"%s\",\"0\",\"\",\"0\",\"\"",
 405                                    spec_ptr);
 406             if (prefs_set_pref(pref_str->str) != PREFS_SET_OK) {
 407                 g_string_free(pref_str, TRUE);
 408                 return FALSE;
 409             }
 410             g_string_free(pref_str, TRUE);
 411             return TRUE;
 412         }
 413     }
 414     return FALSE;
 415 }
 416
 417 int
 418 main(int argc, char *argv[])
 419 {
 420     GString             *comp_info_str;
 421     GString             *runtime_info_str;
 422     char                *init_progfile_dir_error;
 423     int                  opt, i;
 424     gboolean             arg_error = FALSE;
 425
 426 #ifdef _WIN32
 427     WSADATA              wsaData;
 428 #endif  /* _WIN32 */
 429
 430     char                *gpf_path, *pf_path;
 431     char                *gdp_path, *dp_path;
 432     int                  gpf_open_errno, gpf_read_errno;
 433     int                  pf_open_errno, pf_read_errno;
 434     int                  gdp_open_errno, gdp_read_errno;
 435     int                  dp_open_errno, dp_read_errno;
 436     gchar               *pipe_name = NULL;
 437     gchar               *rfilters[64];
 438     e_prefs             *prefs_p;
 439     char                 badopt;
 440     int                  log_flags;
 441     GPtrArray           *disp_fields = g_ptr_array_new();
 442     guint                fc;
 443     gboolean             skip_pcap_header = FALSE;
 444 DIAG_OFF(cast-qual)
 445     static const struct option long_options[] = {
 446       {(char *)"help", no_argument, NULL, 'h'},
 447       {(char *)"version", no_argument, NULL, 'v'},
 448       {0, 0, 0, 0 }
 449     };
 450 DIAG_ON(cast-qual)
 451
 452 #define OPTSTRING_INIT "d:F:hlnN:o:pr:R:sS:t:v"
 453
 454     static const char    optstring[] = OPTSTRING_INIT;
 455
 456     /* Set the C-language locale to the native environment. */
 457     setlocale(LC_ALL, "");
 458
 459     cmdarg_err_init(rawshark_cmdarg_err, rawshark_cmdarg_err_cont);
 460
 461     /* Get the compile-time version information string */
 462     comp_info_str = get_compiled_version_info(NULL, epan_get_compiled_version_info);
 463
 464     /* Get the run-time version information string */
 465     runtime_info_str = get_runtime_version_info(NULL);
 466
 467     /* Add it to the information to be reported on a crash. */
 468     ws_add_crash_info("Rawshark (Wireshark) %s\n"
 469            "\n"
 470            "%s"
 471            "\n"
 472            "%s",
 473         get_ws_vcs_version_info(), comp_info_str->str, runtime_info_str->str);
 474
 475 #ifdef _WIN32
 476     arg_list_utf_16to8(argc, argv);
 477     create_app_running_mutex();
 478 #endif /* _WIN32 */
 479
 480     /*
 481      * Get credential information for later use.
 482      */
 483     init_process_policies();
 484
 485     /*
 486      * Clear the filters arrays
 487      */
 488     memset(rfilters, 0, sizeof(rfilters));
 489     memset(rfcodes, 0, sizeof(rfcodes));
 490     n_rfilters = 0;
 491     n_rfcodes = 0;
 492
 493     /*
 494      * Initialize our string format
 495      */
 496     string_fmts = g_ptr_array_new();
 497
 498     /*
 499      * Attempt to get the pathname of the executable file.
 500      */
 501     init_progfile_dir_error = init_progfile_dir(argv[0], (void *)main);
 502     if (init_progfile_dir_error != NULL) {
 503         fprintf(stderr, "rawshark: Can't get pathname of rawshark program: %s.\n",
 504                 init_progfile_dir_error);
 505     }
 506
 507     /* nothing more than the standard GLib handler, but without a warning */
 508     log_flags =
 509         G_LOG_LEVEL_WARNING |
 510         G_LOG_LEVEL_MESSAGE |
 511         G_LOG_LEVEL_INFO |
 512         G_LOG_LEVEL_DEBUG;
 513
 514     g_log_set_handler(NULL,
 515                       (GLogLevelFlags)log_flags,
 516                       log_func_ignore, NULL /* user_data */);
 517     g_log_set_handler(LOG_DOMAIN_CAPTURE_CHILD,
 518                       (GLogLevelFlags)log_flags,
 519                       log_func_ignore, NULL /* user_data */);
 520
 521     init_report_err(failure_message, open_failure_message, read_failure_message,
 522                     write_failure_message);
 523
 524     timestamp_set_type(TS_RELATIVE);
 525     timestamp_set_precision(TS_PREC_AUTO);
 526     timestamp_set_seconds_type(TS_SECONDS_DEFAULT);
 527
 528     /* Register all dissectors; we must do this before checking for the
 529        "-G" flag, as the "-G" flag dumps information registered by the
 530        dissectors, and we must do it before we read the preferences, in
 531        case any dissectors register preferences. */
 532     epan_init(register_all_protocols, register_all_protocol_handoffs, NULL, NULL);
 533
 534     prefs_p = read_prefs(&gpf_open_errno, &gpf_read_errno, &gpf_path,
 535                          &pf_open_errno, &pf_read_errno, &pf_path);
 536     if (gpf_path != NULL) {
 537         if (gpf_open_errno != 0) {
 538             cmdarg_err("Can't open global preferences file \"%s\": %s.",
 539                        pf_path, g_strerror(gpf_open_errno));
 540         }
 541         if (gpf_read_errno != 0) {
 542             cmdarg_err("I/O error reading global preferences file \"%s\": %s.",
 543                        pf_path, g_strerror(gpf_read_errno));
 544         }
 545     }
 546     if (pf_path != NULL) {
 547         if (pf_open_errno != 0) {
 548             cmdarg_err("Can't open your preferences file \"%s\": %s.", pf_path,
 549                        g_strerror(pf_open_errno));
 550         }
 551         if (pf_read_errno != 0) {
 552             cmdarg_err("I/O error reading your preferences file \"%s\": %s.",
 553                        pf_path, g_strerror(pf_read_errno));
 554         }
 555         g_free(pf_path);
 556         pf_path = NULL;
 557     }
 558
 559     /* Read the disabled protocols file. */
 560     read_disabled_protos_list(&gdp_path, &gdp_open_errno, &gdp_read_errno,
 561                               &dp_path, &dp_open_errno, &dp_read_errno);
 562     read_disabled_heur_dissector_list(&gdp_path, &gdp_open_errno, &gdp_read_errno,
 563                               &dp_path, &dp_open_errno, &dp_read_errno);
 564     if (gdp_path != NULL) {
 565         if (gdp_open_errno != 0) {
 566             cmdarg_err("Could not open global disabled protocols file\n\"%s\": %s.",
 567                        gdp_path, g_strerror(gdp_open_errno));
 568         }
 569         if (gdp_read_errno != 0) {
 570             cmdarg_err("I/O error reading global disabled protocols file\n\"%s\": %s.",
 571                        gdp_path, g_strerror(gdp_read_errno));
 572         }
 573         g_free(gdp_path);
 574     }
 575     if (dp_path != NULL) {
 576         if (dp_open_errno != 0) {
 577             cmdarg_err(
 578                 "Could not open your disabled protocols file\n\"%s\": %s.", dp_path,
 579                 g_strerror(dp_open_errno));
 580         }
 581         if (dp_read_errno != 0) {
 582             cmdarg_err(
 583                 "I/O error reading your disabled protocols file\n\"%s\": %s.", dp_path,
 584                 g_strerror(dp_read_errno));
 585         }
 586         g_free(dp_path);
 587     }
 588
 589 #ifdef _WIN32
 590     /* Load Wpcap, if possible */
 591     load_wpcap();
 592 #endif
 593
 594     cap_file_init(&cfile);
 595
 596     /* Print format defaults to this. */
 597     print_format = PR_FMT_TEXT;
 598
 599     /* Initialize our encapsulation type */
 600     encap = WTAP_ENCAP_UNKNOWN;
 601
 602     /* Now get our args */
 603     /* XXX - We should probably have an option to dump libpcap link types */
 604     while ((opt = getopt_long(argc, argv, optstring, long_options, NULL)) != -1) {
 605         switch (opt) {
 606             case 'd':        /* Payload type */
 607                 if (!set_link_type(optarg)) {
 608                     cmdarg_err("Invalid link type or protocol \"%s\"", optarg);
 609                     exit(1);
 610                 }
 611                 break;
 612             case 'F':        /* Read field to display */
 613                 g_ptr_array_add(disp_fields, g_strdup(optarg));
 614                 break;
 615             case 'h':        /* Print help and exit */
 616                 printf("Rawshark (Wireshark) %s\n"
 617                        "Dump and analyze network traffic.\n"
 618                        "See http://www.wireshark.org for more information.\n",
 619                        get_ws_vcs_version_info());
 620                 print_usage(stdout);
 621                 exit(0);
 622                 break;
 623             case 'l':        /* "Line-buffer" standard output */
 624                 /* This isn't line-buffering, strictly speaking, it's just
 625                    flushing the standard output after the information for
 626                    each packet is printed; however, that should be good
 627                    enough for all the purposes to which "-l" is put (and
 628                    is probably actually better for "-V", as it does fewer
 629                    writes).
 630
 631                    See the comment in "process_packet()" for an explanation of
 632                    why we do that, and why we don't just use "setvbuf()" to
 633                    make the standard output line-buffered (short version: in
 634                    Windows, "line-buffered" is the same as "fully-buffered",
 635                    and the output buffer is only flushed when it fills up). */
 636                 line_buffered = TRUE;
 637                 break;
 638             case 'n':        /* No name resolution */
 639                 gbl_resolv_flags.mac_name = FALSE;
 640                 gbl_resolv_flags.network_name = FALSE;
 641                 gbl_resolv_flags.transport_name = FALSE;
 642                 gbl_resolv_flags.concurrent_dns = FALSE;
 643                 break;
 644             case 'N':        /* Select what types of addresses/port #s to resolve */
 645                 badopt = string_to_name_resolve(optarg, &gbl_resolv_flags);
 646                 if (badopt != '\0') {
 647                     cmdarg_err("-N specifies unknown resolving option '%c'; valid options are 'm', 'n', and 't'",
 648                                badopt);
 649                     exit(1);
 650                 }
 651                 break;
 652             case 'o':        /* Override preference from command line */
 653                 switch (prefs_set_pref(optarg)) {
 654
 655                     case PREFS_SET_OK:
 656                         break;
 657
 658                     case PREFS_SET_SYNTAX_ERR:
 659                         cmdarg_err("Invalid -o flag \"%s\"", optarg);
 660                         exit(1);
 661                         break;
 662
 663                     case PREFS_SET_NO_SUCH_PREF:
 664                     case PREFS_SET_OBSOLETE:
 665                         cmdarg_err("-o flag \"%s\" specifies unknown preference", optarg);
 666                         exit(1);
 667                         break;
 668                 }
 669                 break;
 670             case 'p':        /* Expect pcap_pkthdr packet headers, which may have 64-bit timestamps */
 671                 want_pcap_pkthdr = TRUE;
 672                 break;
 673             case 'r':        /* Read capture file xxx */
 674                 pipe_name = g_strdup(optarg);
 675                 break;
 676             case 'R':        /* Read file filter */
 677                 if(n_rfilters < (int) sizeof(rfilters) / (int) sizeof(rfilters[0])) {
 678                     rfilters[n_rfilters++] = optarg;
 679                 }
 680                 else {
 681                     cmdarg_err("Too many display filters");
 682                     exit(1);
 683                 }
 684                 break;
 685             case 's':        /* Skip PCAP header */
 686                 skip_pcap_header = TRUE;
 687                 break;
 688             case 'S':        /* Print string representations */
 689                 if (!parse_field_string_format(optarg)) {
 690                     cmdarg_err("Invalid field string format");
 691                     exit(1);
 692                 }
 693                 break;
 694             case 't':        /* Time stamp type */
 695                 if (strcmp(optarg, "r") == 0)
 696                     timestamp_set_type(TS_RELATIVE);
 697                 else if (strcmp(optarg, "a") == 0)
 698                     timestamp_set_type(TS_ABSOLUTE);
 699                 else if (strcmp(optarg, "ad") == 0)
 700                     timestamp_set_type(TS_ABSOLUTE_WITH_YMD);
 701                 else if (strcmp(optarg, "adoy") == 0)
 702                     timestamp_set_type(TS_ABSOLUTE_WITH_YDOY);
 703                 else if (strcmp(optarg, "d") == 0)
 704                     timestamp_set_type(TS_DELTA);
 705                 else if (strcmp(optarg, "dd") == 0)
 706                     timestamp_set_type(TS_DELTA_DIS);
 707                 else if (strcmp(optarg, "e") == 0)
 708                     timestamp_set_type(TS_EPOCH);
 709                 else if (strcmp(optarg, "u") == 0)
 710                     timestamp_set_type(TS_UTC);
 711                 else if (strcmp(optarg, "ud") == 0)
 712                     timestamp_set_type(TS_UTC_WITH_YMD);
 713                 else if (strcmp(optarg, "udoy") == 0)
 714                     timestamp_set_type(TS_UTC_WITH_YDOY);
 715                 else {
 716                     cmdarg_err("Invalid time stamp type \"%s\"",
 717                                optarg);
 718                     cmdarg_err_cont(
 719 "It must be \"a\" for absolute, \"ad\" for absolute with YYYY-MM-DD date,");
 720                     cmdarg_err_cont(
 721 "\"adoy\" for absolute with YYYY/DOY date, \"d\" for delta,");
 722                     cmdarg_err_cont(
 723 "\"dd\" for delta displayed, \"e\" for epoch, \"r\" for relative,");
 724                     cmdarg_err_cont(
 725 "\"u\" for absolute UTC, \"ud\" for absolute UTC with YYYY-MM-DD date,");
 726                     cmdarg_err_cont(
 727 "or \"udoy\" for absolute UTC with YYYY/DOY date.");
 728                     exit(1);
 729                 }
 730                 break;
 731             case 'v':        /* Show version and exit */
 732             {
 733                 show_version("Rawshark (Wireshark)", comp_info_str, runtime_info_str);
 734                 g_string_free(comp_info_str, TRUE);
 735                 g_string_free(runtime_info_str, TRUE);
 736                 exit(0);
 737                 break;
 738             }
 739             default:
 740             case '?':        /* Bad flag - print usage message */
 741                 print_usage(stderr);
 742             exit(1);
 743             break;
 744         }
 745     }
 746
 747     /* Notify all registered modules that have had any of their preferences
 748        changed either from one of the preferences file or from the command
 749        line that their preferences have changed.
 750        Initialize preferences before display filters, otherwise modules
 751        like MATE won't work. */
 752     prefs_apply_all();
 753
 754     /* Initialize our display fields */
 755     for (fc = 0; fc < disp_fields->len; fc++) {
 756         protocolinfo_init((char *)g_ptr_array_index(disp_fields, fc));
 757     }
 758     g_ptr_array_free(disp_fields, TRUE);
 759     printf("\n");
 760     fflush(stdout);
 761
 762     /* If no capture filter or read filter has been specified, and there are
 763        still command-line arguments, treat them as the tokens of a capture
 764        filter (if no "-r" flag was specified) or a read filter (if a "-r"
 765        flag was specified. */
 766     if (optind < argc) {
 767         if (pipe_name != NULL) {
 768             if (n_rfilters != 0) {
 769                 cmdarg_err("Read filters were specified both with \"-R\" "
 770                            "and with additional command-line arguments");
 771                 exit(1);
 772             }
 773             rfilters[n_rfilters] = get_args_as_string(argc, argv, optind);
 774         }
 775     }
 776
 777     /* Make sure we got a dissector handle for our payload. */
 778     if (encap == WTAP_ENCAP_UNKNOWN) {
 779         cmdarg_err("No valid payload dissector specified.");
 780         exit(1);
 781     }
 782
 783     if (arg_error) {
 784         print_usage(stderr);
 785         exit(1);
 786     }
 787
 788
 789 #ifdef _WIN32
 790     /* Start windows sockets */
 791     WSAStartup( MAKEWORD( 1, 1 ), &wsaData );
 792 #endif /* _WIN32 */
 793
 794     /* At this point MATE will have registered its field array so we can
 795        have a tap filter with one of MATE's late-registered fields as part
 796        of the filter.  We can now process all the "-z" arguments. */
 797     start_requested_stats();
 798
 799     /* disabled protocols as per configuration file */
 800     if (gdp_path == NULL && dp_path == NULL) {
 801         set_disabled_protos_list();
 802         set_disabled_heur_dissector_list();
 803     }
 804
 805     /* Build the column format array */
 806     build_column_format_array(&cfile.cinfo, prefs_p->num_cols, TRUE);
 807
 808     if (n_rfilters != 0) {
 809         for (i = 0; i < n_rfilters; i++) {
 810             gchar *err_msg;
 811
 812             if (!dfilter_compile(rfilters[i], &rfcodes[n_rfcodes], &err_msg)) {
 813                 cmdarg_err("%s", err_msg);
 814                 g_free(err_msg);
 815                 epan_free(cfile.epan);
 816                 epan_cleanup();
 817                 exit(2);
 818             }
 819             n_rfcodes++;
 820         }
 821     }
 822
 823     if (pipe_name) {
 824         /*
 825          * We're reading a pipe (or capture file).
 826          */
 827
 828         /*
 829          * Immediately relinquish any special privileges we have; we must not
 830          * be allowed to read any capture files the user running Rawshark
 831          * can't open.
 832          */
 833         relinquish_special_privs_perm();
 834
 835         if (raw_cf_open(&cfile, pipe_name) != CF_OK) {
 836             epan_free(cfile.epan);
 837             epan_cleanup();
 838             exit(2);
 839         }
 840
 841         /* Do we need to PCAP header and magic? */
 842         if (skip_pcap_header) {
 843             size_t bytes_left = sizeof(struct pcap_hdr) + sizeof(guint32);
 844             gchar buf[sizeof(struct pcap_hdr) + sizeof(guint32)];
 845             while (bytes_left != 0) {
 846                 ssize_t bytes = read(fd, buf, (int)bytes_left);
 847                 if (bytes <= 0) {
 848                     cmdarg_err("Not enough bytes for pcap header.");
 849                     exit(2);
 850                 }
 851                 bytes_left -= bytes;
 852             }
 853         }
 854
 855         /* Process the packets in the file */
 856         if (!load_cap_file(&cfile)) {
 857             epan_free(cfile.epan);
 858             epan_cleanup();
 859             exit(2);
 860         }
 861     } else {
 862         /* If you want to capture live packets, use TShark. */
 863         cmdarg_err("Input file or pipe name not specified.");
 864         exit(2);
 865     }
 866
 867     epan_free(cfile.epan);
 868     epan_cleanup();
 869
 870     return 0;
 871 }
 872
 873 /**
 874  * Read data from a raw pipe.  The "raw" data consists of a libpcap
 875  * packet header followed by the payload.
 876  * @param pd [IN] A POSIX file descriptor.  Because that's _exactly_ the sort
 877  *           of thing you want to use in Windows.
 878  * @param phdr [OUT] Packet header information.
 879  * @param err [OUT] Error indicator.  Uses wiretap values.
 880  * @param err_info [OUT] Error message.
 881  * @param data_offset [OUT] data offset in the pipe.
 882  * @return TRUE on success, FALSE on failure.
 883  */
 884 static gboolean
 885 raw_pipe_read(struct wtap_pkthdr *phdr, guchar * pd, int *err, gchar **err_info, gint64 *data_offset) {
 886     struct pcap_pkthdr mem_hdr;
 887     struct pcaprec_hdr disk_hdr;
 888     ssize_t bytes_read = 0;
 889     size_t bytes_needed = sizeof(disk_hdr);
 890     guchar *ptr = (guchar*) &disk_hdr;
 891
 892     if (want_pcap_pkthdr) {
 893         bytes_needed = sizeof(mem_hdr);
 894         ptr = (guchar*) &mem_hdr;
 895     }
 896
 897     /* Copied from capture_loop.c */
 898     while (bytes_needed > 0) {
 899         bytes_read = read(fd, ptr, (int)bytes_needed);
 900         if (bytes_read == 0) {
 901             *err = 0;
 902             *err_info = NULL;
 903             return FALSE;
 904         } else if (bytes_read < 0) {
 905             *err = errno;
 906             *err_info = NULL;
 907             return FALSE;
 908         }
 909         bytes_needed -= bytes_read;
 910         *data_offset += bytes_read;
 911         ptr += bytes_read;
 912     }
 913
 914     if (want_pcap_pkthdr) {
 915         phdr->ts.secs = mem_hdr.ts.tv_sec;
 916         phdr->ts.nsecs = (gint32)mem_hdr.ts.tv_usec * 1000;
 917         phdr->caplen = mem_hdr.caplen;
 918         phdr->len = mem_hdr.len;
 919     } else {
 920         phdr->ts.secs = disk_hdr.ts_sec;
 921         phdr->ts.nsecs = disk_hdr.ts_usec * 1000;
 922         phdr->caplen = disk_hdr.incl_len;
 923         phdr->len = disk_hdr.orig_len;
 924     }
 925     bytes_needed = phdr->caplen;
 926
 927     phdr->pkt_encap = encap;
 928
 929 #if 0
 930     printf("mem_hdr: %lu disk_hdr: %lu\n", sizeof(mem_hdr), sizeof(disk_hdr));
 931     printf("tv_sec: %u (%04x)\n", (unsigned int) phdr->ts.secs, (unsigned int) phdr->ts.secs);
 932     printf("tv_nsec: %d (%04x)\n", phdr->ts.nsecs, phdr->ts.nsecs);
 933     printf("caplen: %d (%04x)\n", phdr->caplen, phdr->caplen);
 934     printf("len: %d (%04x)\n", phdr->len, phdr->len);
 935 #endif
 936     if (bytes_needed > WTAP_MAX_PACKET_SIZE) {
 937         *err = WTAP_ERR_BAD_FILE;
 938         *err_info = g_strdup_printf("Bad packet length: %lu\n",
 939                    (unsigned long) bytes_needed);
 940         return FALSE;
 941     }
 942
 943     ptr = pd;
 944     while (bytes_needed > 0) {
 945         bytes_read = read(fd, ptr, (int)bytes_needed);
 946         if (bytes_read == 0) {
 947             *err = WTAP_ERR_SHORT_READ;
 948             *err_info = NULL;
 949             return FALSE;
 950         } else if (bytes_read < 0) {
 951             *err = errno;
 952             *err_info = NULL;
 953             return FALSE;
 954         }
 955         bytes_needed -= bytes_read;
 956         *data_offset += bytes_read;
 957         ptr += bytes_read;
 958     }
 959     return TRUE;
 960 }
 961
 962 static gboolean
 963 load_cap_file(capture_file *cf)
 964 {
 965     int          err;
 966     gchar       *err_info;
 967     gint64       data_offset = 0;
 968
 969     guchar pd[WTAP_MAX_PACKET_SIZE];
 970     struct wtap_pkthdr phdr;
 971     epan_dissect_t edt;
 972
 973     wtap_phdr_init(&phdr);
 974
 975     epan_dissect_init(&edt, cf->epan, TRUE, FALSE);
 976
 977     while (raw_pipe_read(&phdr, pd, &err, &err_info, &data_offset)) {
 978         process_packet(cf, &edt, data_offset, &phdr, pd);
 979     }
 980
 981     epan_dissect_cleanup(&edt);
 982
 983     wtap_phdr_cleanup(&phdr);
 984
 985     if (err != 0) {
 986         /* Print a message noting that the read failed somewhere along the line. */
 987         switch (err) {
 988
 989             case WTAP_ERR_UNSUPPORTED:
 990                 cmdarg_err("The file \"%s\" contains record data that Rawshark doesn't support.\n(%s)",
 991                            cf->filename,
 992                            err_info != NULL ? err_info : "no information supplied");
 993                 g_free(err_info);
 994                 break;
 995
 996             case WTAP_ERR_SHORT_READ:
 997                 cmdarg_err("The file \"%s\" appears to have been cut short in the middle of a packet.",
 998                            cf->filename);
 999                 break;
1000
1001             case WTAP_ERR_BAD_FILE:
1002                 cmdarg_err("The file \"%s\" appears to be damaged or corrupt.\n(%s)",
1003                            cf->filename,
1004                            err_info != NULL ? err_info : "no information supplied");
1005                 g_free(err_info);
1006                 break;
1007
1008             case WTAP_ERR_DECOMPRESS:
1009                 cmdarg_err("The compressed file \"%s\" appears to be damaged or corrupt.\n(%s)",
1010                            cf->filename,
1011                            err_info != NULL ? err_info : "no information supplied");
1012                 g_free(err_info);
1013                 break;
1014
1015             default:
1016                 cmdarg_err("An error occurred while reading the file \"%s\": %s.",
1017                            cf->filename, wtap_strerror(err));
1018                 break;
1019         }
1020         return FALSE;
1021     }
1022
1023     return TRUE;
1024 }
1025
1026 static gboolean
1027 process_packet(capture_file *cf, epan_dissect_t *edt, gint64 offset,
1028                struct wtap_pkthdr *whdr, const guchar *pd)
1029 {
1030     frame_data fdata;
1031     gboolean passed;
1032     int i;
1033
1034     if(whdr->len == 0)
1035     {
1036         /* The user sends an empty packet when he wants to get output from us even if we don't currently have
1037            packets to process. We spit out a line with the timestamp and the text "void"
1038         */
1039         printf("%lu %lu %lu void -\n", (unsigned long int)cf->count,
1040                (unsigned long int)whdr->ts.secs,
1041                (unsigned long int)whdr->ts.nsecs);
1042
1043         fflush(stdout);
1044
1045         return FALSE;
1046     }
1047
1048     /* Count this packet. */
1049     cf->count++;
1050
1051     /* If we're going to print packet information, or we're going to
1052        run a read filter, or we're going to process taps, set up to
1053        do a dissection and do so. */
1054     frame_data_init(&fdata, cf->count, whdr, offset, cum_bytes);
1055
1056     passed = TRUE;
1057
1058     /* If we're running a read filter, prime the epan_dissect_t with that
1059        filter. */
1060     if (n_rfilters > 0) {
1061         for(i = 0; i < n_rfcodes; i++) {
1062             epan_dissect_prime_dfilter(edt, rfcodes[i]);
1063         }
1064     }
1065
1066     printf("%lu", (unsigned long int) cf->count);
1067
1068     frame_data_set_before_dissect(&fdata, &cf->elapsed_time,
1069                                   &ref, prev_dis);
1070
1071     if (ref == &fdata) {
1072        ref_frame = fdata;
1073        ref = &ref_frame;
1074     }
1075
1076     /* We only need the columns if we're printing packet info but we're
1077      *not* verbose; in verbose mode, we print the protocol tree, not
1078      the protocol summary. */
1079     epan_dissect_run_with_taps(edt, cf->cd_t, whdr, frame_tvbuff_new(&fdata, pd), &fdata, &cf->cinfo);
1080
1081     frame_data_set_after_dissect(&fdata, &cum_bytes);
1082     prev_dis_frame = fdata;
1083     prev_dis = &prev_dis_frame;
1084
1085     prev_cap_frame = fdata;
1086     prev_cap = &prev_cap_frame;
1087
1088     for(i = 0; i < n_rfilters; i++) {
1089         /* Run the read filter if we have one. */
1090         if (rfcodes[i])
1091             passed = dfilter_apply_edt(rfcodes[i], edt);
1092         else
1093             passed = TRUE;
1094
1095         /* Print a one-line summary */
1096         printf(" %u", passed ? 1 : 0);
1097     }
1098
1099     printf(" -\n");
1100
1101     /* The ANSI C standard does not appear to *require* that a line-buffered
1102        stream be flushed to the host environment whenever a newline is
1103        written, it just says that, on such a stream, characters "are
1104        intended to be transmitted to or from the host environment as a
1105        block when a new-line character is encountered".
1106
1107        The Visual C++ 6.0 C implementation doesn't do what is intended;
1108        even if you set a stream to be line-buffered, it still doesn't
1109        flush the buffer at the end of every line.
1110
1111        So, if the "-l" flag was specified, we flush the standard output
1112        at the end of a packet.  This will do the right thing if we're
1113        printing packet summary lines, and, as we print the entire protocol
1114        tree for a single packet without waiting for anything to happen,
1115        it should be as good as line-buffered mode if we're printing
1116        protocol trees.  (The whole reason for the "-l" flag in either
1117        tcpdump or Rawshark is to allow the output of a live capture to
1118        be piped to a program or script and to have that script see the
1119        information for the packet as soon as it's printed, rather than
1120        having to wait until a standard I/O buffer fills up. */
1121     if (line_buffered)
1122         fflush(stdout);
1123
1124     if (ferror(stdout)) {
1125         show_print_file_io_error(errno);
1126         exit(2);
1127     }
1128
1129     epan_dissect_reset(edt);
1130     frame_data_destroy(&fdata);
1131
1132     return passed;
1133 }
1134
1135 /****************************************************************************************
1136  * FIELD EXTRACTION ROUTINES
1137  ****************************************************************************************/
1138 typedef struct _pci_t {
1139     char *filter;
1140     int hf_index;
1141     int cmd_line_index;
1142 } pci_t;
1143
1144 static const char* ftenum_to_string(header_field_info *hfi)
1145 {
1146     if (!hfi) {
1147         return "n.a.";
1148     }
1149
1150     if (string_fmts->len > 0 && hfi->strings) {
1151         return "FT_STRING";
1152     }
1153
1154     switch(hfi->type) {
1155         case FT_NONE:
1156             return "FT_NONE";
1157         case FT_PROTOCOL:
1158             return "FT_PROTOCOL";
1159         case FT_BOOLEAN:
1160             return "FT_BOOLEAN";
1161         case FT_UINT8:
1162             return "FT_UINT8";
1163         case FT_UINT16:
1164             return "FT_UINT16";
1165         case FT_UINT24:
1166             return "FT_UINT24";
1167         case FT_UINT32:
1168             return "FT_UINT32";
1169         case FT_UINT64:
1170             return "FT_UINT64";
1171         case FT_INT8:
1172             return "FT_INT8";
1173         case FT_INT16:
1174             return "FT_INT16";
1175         case FT_INT24:
1176             return "FT_INT24";
1177         case FT_INT32:
1178             return "FT_INT32";
1179         case FT_INT64:
1180             return "FT_INT64";
1181         case FT_FLOAT:
1182             return "FT_FLOAT";
1183         case FT_DOUBLE:
1184             return "FT_DOUBLE";
1185         case FT_ABSOLUTE_TIME:
1186             return "FT_ABSOLUTE_TIME";
1187         case FT_RELATIVE_TIME:
1188             return "FT_RELATIVE_TIME";
1189         case FT_STRING:
1190             return "FT_STRING";
1191         case FT_STRINGZ:
1192             return "FT_STRINGZ";
1193         case FT_UINT_STRING:
1194             return "FT_UINT_STRING";
1195         case FT_ETHER:
1196             return "FT_ETHER";
1197         case FT_BYTES:
1198             return "FT_BYTES";
1199         case FT_UINT_BYTES:
1200             return "FT_UINT_BYTES";
1201         case FT_IPv4:
1202             return "FT_IPv4";
1203         case FT_IPv6:
1204             return "FT_IPv6";
1205         case FT_IPXNET:
1206             return "FT_IPXNET";
1207         case FT_FRAMENUM:
1208             return "FT_FRAMENUM";
1209         case FT_PCRE:
1210             return "FT_PCRE";
1211         case FT_GUID:
1212             return "FT_GUID";
1213         case FT_OID:
1214             return "FT_OID";
1215         case FT_REL_OID:
1216             return "FT_REL_OID";
1217         case FT_SYSTEM_ID:
1218             return "FT_SYSTEM_ID";
1219         case FT_STRINGZPAD:
1220             return "FT_STRIGZPAD";
1221         case FT_NUM_TYPES:
1222             return "FT_NUM_TYPES";
1223         default:
1224             return "n.a.";
1225     };
1226 }
1227
1228 static const char* absolute_time_display_e_to_string(absolute_time_display_e atd)
1229 {
1230     switch(atd) {
1231         case ABSOLUTE_TIME_LOCAL:
1232             return "ABSOLUTE_TIME_LOCAL";
1233         case ABSOLUTE_TIME_UTC:
1234             return "ABSOLUTE_TIME_UTC";
1235         default:
1236             return "n.a.";
1237     }
1238 }
1239
1240 static const char* field_display_e_to_string(field_display_e bd)
1241 {
1242     switch(bd) {
1243         case BASE_NONE:
1244             return "BASE_NONE";
1245         case BASE_DEC:
1246             return "BASE_DEC";
1247         case BASE_HEX:
1248             return "BASE_HEX";
1249         case BASE_OCT:
1250             return "BASE_OCT";
1251         case BASE_DEC_HEX:
1252             return "BASE_DEC_HEX";
1253         case BASE_HEX_DEC:
1254             return "BASE_HEX_DEC";
1255         default:
1256             return "n.a.";
1257     }
1258 }
1259
1260 /*
1261  * Copied from various parts of proto.c
1262  */
1263 #define FIELD_STR_INIT_LEN 256
1264 #define cVALS(x) (const value_string*)(x)
1265 static gboolean print_field_value(field_info *finfo, int cmd_line_index)
1266 {
1267     header_field_info   *hfinfo;
1268     static char         *fs_buf = NULL;
1269     char                *fs_ptr = fs_buf;
1270     static GString     *label_s = NULL;
1271     int                 fs_buf_len = FIELD_STR_INIT_LEN, fs_len;
1272     guint              i;
1273     string_fmt_t       *sf;
1274     guint32            uvalue;
1275     gint32             svalue;
1276     guint64            uvalue64;
1277     gint64             svalue64;
1278     const true_false_string *tfstring = &tfs_true_false;
1279
1280     hfinfo = finfo->hfinfo;
1281
1282     if (!fs_buf) {
1283         fs_buf = (char *)g_malloc(fs_buf_len + 1);
1284         fs_ptr = fs_buf;
1285     }
1286
1287     if (!label_s) {
1288         label_s = g_string_new("");
1289     }
1290
1291     if(finfo->value.ftype->val_to_string_repr)
1292     {
1293         /*
1294          * this field has an associated value,
1295          * e.g: ip.hdr_len
1296          */
1297         fs_len = fvalue_string_repr_len(&finfo->value, FTREPR_DFILTER, finfo->hfinfo->display);
1298         while (fs_buf_len < fs_len) {
1299             fs_buf_len *= 2;
1300             fs_buf = (char *)g_realloc(fs_buf, fs_buf_len + 1);
1301             fs_ptr = fs_buf;
1302         }
1303         fvalue_to_string_repr(&finfo->value,
1304                               FTREPR_DFILTER, finfo->hfinfo->display,
1305                               fs_buf);
1306
1307         /* String types are quoted. Remove them. */
1308         if (IS_FT_STRING(finfo->value.ftype->ftype) && fs_len > 2) {
1309             fs_buf[fs_len - 1] = '\0';
1310             fs_ptr++;
1311         }
1312     }
1313
1314     if (string_fmts->len > 0 && finfo->hfinfo->strings) {
1315         g_string_truncate(label_s, 0);
1316         for (i = 0; i < string_fmts->len; i++) {
1317             sf = (string_fmt_t *)g_ptr_array_index(string_fmts, i);
1318             if (sf->plain) {
1319                 g_string_append(label_s, sf->plain);
1320             } else {
1321                 switch (sf->format) {
1322                     case SF_NAME:
1323                         g_string_append(label_s, hfinfo->name);
1324                         break;
1325                     case SF_NUMVAL:
1326                         g_string_append(label_s, fs_ptr);
1327                         break;
1328                     case SF_STRVAL:
1329                         switch(hfinfo->type) {
1330                             case FT_BOOLEAN:
1331                                 uvalue = fvalue_get_uinteger(&finfo->value);
1332                                 tfstring = (const struct true_false_string*) hfinfo->strings;
1333                                 g_string_append(label_s, uvalue ? tfstring->true_string : tfstring->false_string);
1334                                 break;
1335                             case FT_INT8:
1336                             case FT_INT16:
1337                             case FT_INT24:
1338                             case FT_INT32:
1339                                 DISSECTOR_ASSERT(!hfinfo->bitmask);
1340                                 svalue = fvalue_get_sinteger(&finfo->value);
1341                                 if (hfinfo->display & BASE_RANGE_STRING) {
1342                                     g_string_append(label_s, rval_to_str_const(svalue, RVALS(hfinfo->strings), "Unknown"));
1343                                 } else if (hfinfo->display & BASE_EXT_STRING) {
1344                                     g_string_append(label_s, val_to_str_ext_const(svalue, (value_string_ext *) hfinfo->strings, "Unknown"));
1345                                 } else {
1346                                     g_string_append(label_s, val_to_str_const(svalue, cVALS(hfinfo->strings), "Unknown"));
1347                                 }
1348                                 break;
1349                             case FT_INT40: /* XXX: Shouldn't these be as smart as FT_INT{8,16,24,32}? */
1350                             case FT_INT48:
1351                             case FT_INT56:
1352                             case FT_INT64:
1353                                 DISSECTOR_ASSERT(!hfinfo->bitmask);
1354                                 svalue64 = (gint64)fvalue_get_sinteger64(&finfo->value);
1355                                 if (hfinfo->display & BASE_VAL64_STRING) {
1356                                     g_string_append(label_s, val64_to_str_const(svalue64, (const val64_string *)(hfinfo->strings), "Unknown"));
1357                                 }
1358                                 break;
1359                             case FT_UINT8:
1360                             case FT_UINT16:
1361                             case FT_UINT24:
1362                             case FT_UINT32:
1363                                 DISSECTOR_ASSERT(!hfinfo->bitmask);
1364                                 uvalue = fvalue_get_uinteger(&finfo->value);
1365                                 if (!hfinfo->bitmask && hfinfo->display & BASE_RANGE_STRING) {
1366                                     g_string_append(label_s, rval_to_str_const(uvalue, RVALS(hfinfo->strings), "Unknown"));
1367                                 } else if (hfinfo->display & BASE_EXT_STRING) {
1368                                     g_string_append(label_s, val_to_str_ext_const(uvalue, (value_string_ext *) hfinfo->strings, "Unknown"));
1369                                 } else {
1370                                     g_string_append(label_s, val_to_str_const(uvalue, cVALS(hfinfo->strings), "Unknown"));
1371                                 }
1372                                 break;
1373                             case FT_UINT40: /* XXX: Shouldn't these be as smart as FT_INT{8,16,24,32}? */
1374                             case FT_UINT48:
1375                             case FT_UINT56:
1376                             case FT_UINT64:
1377                                 DISSECTOR_ASSERT(!hfinfo->bitmask);
1378                                 uvalue64 = fvalue_get_uinteger64(&finfo->value);
1379                                 if (hfinfo->display & BASE_VAL64_STRING) {
1380                                     g_string_append(label_s, val64_to_str_const(uvalue64, (const val64_string *)(hfinfo->strings), "Unknown"));
1381                                 }
1382                                 break;
1383                             default:
1384                                 break;
1385                         }
1386                         break;
1387                     default:
1388                         break;
1389                 }
1390             }
1391         }
1392         printf(" %d=\"%s\"", cmd_line_index, label_s->str);
1393         return TRUE;
1394     }
1395
1396     if(finfo->value.ftype->val_to_string_repr)
1397     {
1398         printf(" %d=\"%s\"", cmd_line_index, fs_ptr);
1399         return TRUE;
1400     }
1401
1402     /*
1403      * This field doesn't have an associated value,
1404      * e.g. http
1405      * We return n.a.
1406      */
1407     printf(" %d=\"n.a.\"", cmd_line_index);
1408     return TRUE;
1409 }
1410
1411 static int
1412 protocolinfo_packet(void *prs, packet_info *pinfo _U_, epan_dissect_t *edt, const void *dummy _U_)
1413 {
1414     pci_t *rs=(pci_t *)prs;
1415     GPtrArray *gp;
1416     guint i;
1417
1418     gp=proto_get_finfo_ptr_array(edt->tree, rs->hf_index);
1419     if(!gp){
1420         printf(" n.a.");
1421         return 0;
1422     }
1423
1424     /*
1425      * Print each occurrence of the field
1426      */
1427     for (i = 0; i < gp->len; i++) {
1428         print_field_value((field_info *)gp->pdata[i], rs->cmd_line_index);
1429     }
1430
1431     return 0;
1432 }
1433
1434 int g_cmd_line_index = 0;
1435
1436 /*
1437  * field must be persistent - we don't g_strdup() it below
1438  */
1439 static void
1440 protocolinfo_init(char *field)
1441 {
1442     pci_t *rs;
1443     header_field_info *hfi;
1444     GString *error_string;
1445
1446     hfi=proto_registrar_get_byname(field);
1447     if(!hfi){
1448         fprintf(stderr, "rawshark: Field \"%s\" doesn't exist.\n", field);
1449         exit(1);
1450     }
1451
1452     switch (hfi->type) {
1453
1454         case FT_ABSOLUTE_TIME:
1455             printf("%d %s %s - ",
1456                    g_cmd_line_index,
1457                    ftenum_to_string(hfi),
1458                    absolute_time_display_e_to_string((absolute_time_display_e)hfi->display));
1459             break;
1460
1461         default:
1462             printf("%d %s %s - ",
1463                    g_cmd_line_index,
1464                    ftenum_to_string(hfi),
1465                    field_display_e_to_string((field_display_e)hfi->display));
1466             break;
1467     }
1468
1469     rs=(pci_t *)g_malloc(sizeof(pci_t));
1470     rs->hf_index=hfi->id;
1471     rs->filter=field;
1472     rs->cmd_line_index = g_cmd_line_index++;
1473
1474     error_string=register_tap_listener("frame", rs, rs->filter, TL_REQUIRES_PROTO_TREE, NULL, protocolinfo_packet, NULL);
1475     if(error_string){
1476         /* error, we failed to attach to the tap. complain and clean up */
1477         fprintf(stderr, "rawshark: Couldn't register field extraction tap: %s\n",
1478                 error_string->str);
1479         g_string_free(error_string, TRUE);
1480         if(rs->filter){
1481             g_free(rs->filter);
1482         }
1483         g_free(rs);
1484
1485         exit(1);
1486     }
1487 }
1488
1489 /*
1490  * Given a format string, split it into a GPtrArray of string_fmt_t structs
1491  * and fill in string_fmt_parts.
1492  */
1493
1494 static void
1495 add_string_fmt(string_fmt_e format, gchar *plain) {
1496     string_fmt_t *sf = (string_fmt_t *)g_malloc(sizeof(string_fmt_t));
1497
1498     sf->format = format;
1499     sf->plain = g_strdup(plain);
1500
1501     g_ptr_array_add(string_fmts, sf);
1502 }
1503
1504 static gboolean
1505 parse_field_string_format(gchar *format) {
1506     GString *plain_s = g_string_new("");
1507     size_t len;
1508     size_t pos = 0;
1509
1510     if (!format) {
1511         return FALSE;
1512     }
1513
1514     len = strlen(format);
1515     g_ptr_array_set_size(string_fmts, 0);
1516
1517     while (pos < len) {
1518         if (format[pos] == '%') {
1519             if (pos >= len) { /* There should always be a following character */
1520                 return FALSE;
1521             }
1522             pos++;
1523             if (plain_s->len > 0) {
1524                 add_string_fmt(SF_NONE, plain_s->str);
1525                 g_string_truncate(plain_s, 0);
1526             }
1527             switch (format[pos]) {
1528                 case 'D':
1529                     add_string_fmt(SF_NAME, NULL);
1530                     break;
1531                 case 'N':
1532                     add_string_fmt(SF_NUMVAL, NULL);
1533                     break;
1534                 case 'S':
1535                     add_string_fmt(SF_STRVAL, NULL);
1536                     break;
1537                 case '%':
1538                     g_string_append_c(plain_s, '%');
1539                     break;
1540                 default: /* Invalid format */
1541                     return FALSE;
1542             }
1543         } else {
1544             g_string_append_c(plain_s, format[pos]);
1545         }
1546         pos++;
1547     }
1548
1549     if (plain_s->len > 0) {
1550         add_string_fmt(SF_NONE, plain_s->str);
1551     }
1552     g_string_free(plain_s, TRUE);
1553
1554     return TRUE;
1555 }
1556 /****************************************************************************************
1557  * END OF FIELD EXTRACTION ROUTINES
1558  ****************************************************************************************/
1559
1560 static void
1561 show_print_file_io_error(int err)
1562 {
1563     switch (err) {
1564
1565         case ENOSPC:
1566             cmdarg_err("Not all the packets could be printed because there is "
1567                        "no space left on the file system.");
1568             break;
1569
1570 #ifdef EDQUOT
1571         case EDQUOT:
1572             cmdarg_err("Not all the packets could be printed because you are "
1573                        "too close to, or over your disk quota.");
1574             break;
1575 #endif
1576
1577         default:
1578             cmdarg_err("An error occurred while printing packets: %s.",
1579                        g_strerror(err));
1580             break;
1581     }
1582 }
1583
1584 /*
1585  * Open/create errors are reported with an console message in Rawshark.
1586  */
1587 static void
1588 open_failure_message(const char *filename, int err, gboolean for_writing)
1589 {
1590     fprintf(stderr, "rawshark: ");
1591     fprintf(stderr, file_open_error_message(err, for_writing), filename);
1592     fprintf(stderr, "\n");
1593 }
1594
1595 static const nstime_t *
1596 raw_get_frame_ts(void *data _U_, guint32 frame_num)
1597 {
1598     if (ref && ref->num == frame_num)
1599         return &ref->abs_ts;
1600
1601     if (prev_dis && prev_dis->num == frame_num)
1602         return &prev_dis->abs_ts;
1603
1604     if (prev_cap && prev_cap->num == frame_num)
1605         return &prev_cap->abs_ts;
1606
1607     return NULL;
1608 }
1609
1610 static epan_t *
1611 raw_epan_new(capture_file *cf)
1612 {
1613     epan_t *epan = epan_new();
1614
1615     epan->data = cf;
1616     epan->get_frame_ts = raw_get_frame_ts;
1617     epan->get_interface_name = cap_file_get_interface_name;
1618     epan->get_user_comment = NULL;
1619
1620     return epan;
1621 }
1622
1623 cf_status_t
1624 raw_cf_open(capture_file *cf, const char *fname)
1625 {
1626     if ((fd = raw_pipe_open(fname)) < 0)
1627         return CF_ERROR;
1628
1629     /* The open succeeded.  Fill in the information for this file. */
1630
1631     /* Create new epan session for dissection. */
1632     epan_free(cf->epan);
1633     cf->epan = raw_epan_new(cf);
1634
1635     cf->wth = NULL;
1636     cf->f_datalen = 0; /* not used, but set it anyway */
1637
1638     /* Set the file name because we need it to set the follow stream filter.
1639        XXX - is that still true?  We need it for other reasons, though,
1640        in any case. */
1641     cf->filename = g_strdup(fname);
1642
1643     /* Indicate whether it's a permanent or temporary file. */
1644     cf->is_tempfile = FALSE;
1645
1646     /* No user changes yet. */
1647     cf->unsaved_changes = FALSE;
1648
1649     cf->cd_t      = WTAP_FILE_TYPE_SUBTYPE_UNKNOWN;
1650     cf->open_type = WTAP_TYPE_AUTO;
1651     cf->count     = 0;
1652     cf->drops_known = FALSE;
1653     cf->drops     = 0;
1654     cf->has_snap = FALSE;
1655     cf->snap = WTAP_MAX_PACKET_SIZE;
1656     nstime_set_zero(&cf->elapsed_time);
1657     ref = NULL;
1658     prev_dis = NULL;
1659     prev_cap = NULL;
1660
1661     return CF_OK;
1662 }
1663
1664
1665 /*
1666  * General errors are reported with an console message in Rawshark.
1667  */
1668 static void
1669 failure_message(const char *msg_format, va_list ap)
1670 {
1671     fprintf(stderr, "rawshark: ");
1672     vfprintf(stderr, msg_format, ap);
1673     fprintf(stderr, "\n");
1674 }
1675
1676 /*
1677  * Read errors are reported with an console message in Rawshark.
1678  */
1679 static void
1680 read_failure_message(const char *filename, int err)
1681 {
1682     cmdarg_err("An error occurred while reading from the file \"%s\": %s.",
1683                filename, g_strerror(err));
1684 }
1685
1686 /*
1687  * Write errors are reported with an console message in Rawshark.
1688  */
1689 static void
1690 write_failure_message(const char *filename, int err)
1691 {
1692     cmdarg_err("An error occurred while writing to the file \"%s\": %s.",
1693                filename, g_strerror(err));
1694 }
1695
1696 /*
1697  * Report an error in command-line arguments.
1698  */
1699 static void
1700 rawshark_cmdarg_err(const char *fmt, va_list ap)
1701 {
1702     fprintf(stderr, "rawshark: ");
1703     vfprintf(stderr, fmt, ap);
1704     fprintf(stderr, "\n");
1705 }
1706
1707 /*
1708  * Report additional information for an error in command-line arguments.
1709  */
1710 static void
1711 rawshark_cmdarg_err_cont(const char *fmt, va_list ap)
1712 {
1713     vfprintf(stderr, fmt, ap);
1714     fprintf(stderr, "\n");
1715 }
1716
1717 /*
1718  * Editor modelines
1719  *
1720  * Local Variables:
1721  * c-basic-offset: 4
1722  * tab-width: 8
1723  * indent-tabs-mode: nil
1724  * End:
1725  *
1726  * ex: set shiftwidth=4 tabstop=8 expandtab:
1727  * :indentSize=4:tabSize=8:noTabs=true:
1728  */