wireshark 识别 mysql 协议的原理
在 wireshark 中，通过输入特定协议名称（如 mysql、amqp 等）进行过滤，可以筛选出相应的网络数据包。那么，wireshark 是如何识别一个数据包是否属于 mysql 协议的呢？
粗暴却有效的方法
wireshark 采用了一种简单而有效的方法来识别 mysql 协议：
- 先判断是否是 tcp 协议：wireshark 会首先检查数据包是否属于 tcp 协议。
- 再判断端口是否是 3306：如果数据包是 tcp 协议，wireshark 会进一步检查其端口号是否为 3306，因为 mysql 默认使用 3306 端口。
如果前两个条件都满足，wireshark 会认为该数据包可能是 mysql 协议。
解析尝试
在判断为潜在的 mysql 协议后，wireshark 会尝试解析该数据包的内容。如果解析成功，则确认该数据包属于 mysql 协议。解析不成功，则 wireshark 会将该数据包交给其他满足条件的解析器继续解析，直到无法再解析。
代码详解
wireshark 的源码中提供了对解析过程的详细信息。在 epan/dissectors/packet-mysql.c 文件中，可以找到相关的解析代码。
例如，下述代码判断数据包是否是 tcp 协议且端口号是 3306：
if (!pinfo->fd->flags.visited && pinfo->ptype == PT_TCP &&
pinfo->destport == mysql_tcp_port) {
return 1; // 可能是 MySQL 协议
}如果该判断为真，wireshark 将继续尝试解析数据包的内容，确认其是否真正属于 mysql 协议。
