2024年4月21日发(作者：)
技术论坛
计算机粤网络创新生活
利用Ｗｉｒｅｓｈａｒｋ软件进行信令分析
李山松
（河北远东哈里斯通信有限公司河北石家庄０５０２００）
【摘要】Ｗｉｒｅｓｈａｒｋ软件是开源软件中应用最广的一种信令分析软件，支持众多的信令协议。ＰＣＡＰ文件格式是一种通用
的封包存储格式，这个格式的文件可以被Ｗｉｒｅｓｈａｒｋ软件直接读取。在分析ＰＣＡＰ文件格式的基础上，通过构建数据文件，可以
利用Ｗｉｒｅｓｈａｒｋ软件对已有的信令数据进行信令分析。分析结果可以用于科学研究和工程实践，避免了手工分解信令数据时的
低效率，提高了工作的时效性。
【关键词】ＰＣＡＰ格式Ｗｉｒｅｓｈａｒｋ信令分析Ｑ．９３１
中图分类号：ＴＰ３１１文献标识码：Ａ文章编号：１ＯＯ８一ｌ７３９（２Ｏ１３）２Ｏ一６４—３
Ｓｉｇｎａｌｉｎｇ Ａｎａｌｙｓｉｓ ｂｙ Ｕｓｉｎｇ Ｗｉｒｅｓｈａｒｋ Ｓｏｆｔｗａｒ
ＬＩ Ｓｈａｎ——ｓｏｎｇ
（Ｈｅｂｅｉ Ｆａｒ Ｅａｓｔ Ｈａｒｒｉｓ Ｃｏｍｍｔｍｉｃａｔｉｏｎｓ Ｃｏ．，Ｌｔｄ，Ｓｈｉｊｉａｚｈｕａｎｇ Ｈｅｂｅｉ ０５０２００，Ｃｈｉｎａ）
Ａｂｓｔｒａｃｔ：Ｗｉｒｅｓｈａｒｋ ｓｏｆｔｗａｒｅ ｉｓ ｏｎｅ ｏｆ ｔｈｅ ｍｏｓｔ ｗｉｄｅｌｙ ｕｓｅｄ ｓｉｇｎａｌｉｎｇ ａｎａｌｙ￣ｓ ｓｏｆｔｗａｒｅ ｉｎ ｏｐｅｎ ｓｏｕｒｃｅ ｓｏｆｔｗａｒｅ，ｉｔ ｓｕｐｐｏｒｔｓ
ｎｕｍｅｒｏｕｓ ｓｉｇｎａｌｉｎｇｐｒｏｔｏｃｏｌｓ．ＰＣＡＰｆｉｌｅｆｏｒｍａｔｉｓ ａｇｅｎｅｒａｌｐａｃｋａｇｅｄ ｓｔｏｒａｇｅｆｏｒｍａｔ，ａｎｄｔｈｅｆｌｅｓｗｉｉｔｈｔｈｉｓｆｏｒｍａｔ ｃａｎｂｅ ｒｅａｄ ｄｉｒｅｃｔｌｙ ｂｙ
Ｗｉｒｅｓｈａｒｋ ｓｏｆｔｗａｒｅ．Ｂａｓｅｄ ｏｎ ａｎａｌｙｓｉｓ ｏｆＰＣＡＰ ｌｅｉｆ ｏｒｆｍａｔ ａｎｄ ｃｏｎｓｔｒｕｃｔｉｏｎ ｏｆｄａｔａ ｌｉｆｅ，ｔｈｅ ｓｉｇｎａｌｉｎｇ ａｎａｌ￣ｓ ｏｆｅｘｉｓｔｉｎｇ ｓｉｎａｌｇｉｎｇ ａｔｄｕｍ
Ｃａｎ ｂｅ ｃａｒｒｉｅｄ ｏｕｔ ｂｙ ｕｓｉｎｇ Ｗｉｒｅｓｈａｒｋ ｓｏｆｔｗａｒｅ．Ｔｈｅ ａｎａｌｙｓｉｓ ｒｅｓｕｌｔｓ ｃａｎ ｂｅ ｕｓｅｄ ｆｏｒ ｓｃｉｅｎｔｉｉｆｃ ｒ￣ｅａｒｃｈ ａｎｄ ｅｎｇｉｎｅｅｒｉｎｇ ｐｒａｃｔｉｃｅ ｔｏ ａｖｏｉｄ
ｈｅ ｉｎｅｆｔｆｉｃｉｅｎｃｙ ｏｆｍａｎｕａｌ ｄｅｃｏｍｐｏｓｉｔｉｏｎ ｏｆｓｉｇｎａｌｉｎｇ ａｔｄａ ａｎｄ ｉｍｐｒｏｖｅ ｔｈｅ ｔｉｍｅｌｉｎｅｓｓ ｏｆｗｏｒｋ．
Ｋｅｙ ｗｏｒｄｓ：ＰＣＡＰ ｆｏｒｍａｔ；Ｗｉｒｅ，ｈａｒｋ；ｓｉｇ￣ｇ ａｎａｌｙｓｉｓ；Ｑ．９３１
１引言
通信设备之间的组网都是通过标准的信令协议达成的。
处理联网故障，可以通过分析２台设备之间收发的信令消息
Ｇｅｒａｌｄ Ｃｏｍｂｓ完成了最初版本的编写，并将其置于ＧＮＵ ＧＰＬ
通用许可证的保障范围之下，使用者可以免费获得软件和其
源代码，并拥有针对其源代码修改和完善的权利。・之后，众多
程序员参与了软件的编写和完善。２００６年６月，因为商标的问
Ｅｔｈｅｒｅａｌ更名为Ｗｉｒｅｓｈａｒｋ。目前，Ｗｉｒｅｓｈａｒｋ已经是全世界
找到故障点。但是这些信令数据的可读性比较差，要想了解信
题，
使用最广泛的信令分析软件之一。
令包含的具体内容，商业化的信令分析仪是一个很好的工具，
２如何用Ｗｉｒｅｓｈａｒｋ读取信令数据
但是价格比较高，携带也不是很方便，不能在工程人员中进行
２．
大面积推广。这里就探讨一下如何使用开源软件Ｗｉｒｅｓｈａｒｋ为
Ｗｉｒｅｓｈａｒｋ软件相当优秀，但是他本身并不能直接读取通
其他问题皆
工程联网故障的排查提供服务，进而加快联网问题的排查速
信设备输出的信令消息。如果能够解决这个问题，
可迎刃而解。通过分析，发现Ｗｉｒｅｓｈａｒｋ支持读取ＰＣＡＰ格式
度。
的封包捕获文件，接下来的问题就是如何能把通信设备输出
２ Ｗｉｒｅｓｈａｒｋ软件介绍
２
的信令消息转换为ＰＣＡＰ封包格式。下面以交换机ＰＲＩ中继
使用的Ｑ．９３１协议为例子，详细介绍这—转换是如何完成的。
软
件
介
Ｗｉｒ
ｅｓｈ
ａｒｋ
软件
，以前称为Ｅｔ
以前称为
ｈｅｒ
年底，由
３
…
ＰｃＡＰ文件格式圆
… 一”…
ｅａｌ
软件。
软件。１９９７年底’由
，
定稿日期：２０１３—０９—２６ 为了生成ＰＣＡＰ文件，首先需要了解ＰＣＡＰ文件的结构。
《计算机与网络》２０１３年第２ｏ期
技术论坛
计算机粤网络创新生活
６５
ＰＣＡＰ文件格式是一种在协议分析中用到的数据包存储格
式。但是，目前还没有现成的工具软件能把交 输出的信令
４ ＤＬＴ
ＬＩＮＵＸ
＿＿
ＬＡＰＤ帧
信息打包为ＰＣＡＰ格式的文件。因此，这—转换过程需要自己
编程解决。ＰＣＡＰ文件由—个文件头和若干个数据包构成。每
个数据包前面还有一个头部结构，记录数据包的捕获时间、长
度等内容，下面是用ｃ语言描述的数据包头部结构：
ｓｔｒｕｃｔＰＫＴ
ＨＤＲ
＿
ＤＬＴ＿ＬＩＮＵＸ＿ＬＡＰＤ是ｌｉｎｕｘ操作系统为了处理ＬＡＰＤ
帧而定义的—个数据结构，这里借用一下这个结构来封装交
换栅输出的信令消息。可以使用下面的Ｃ语言来描述这个帧
的头部结构四：
ｓｔｒｕｃｔ ＤＬ ￡ＩＮＵＸＨＤＲ
＿
｛
ＤＷＯＩ￣Ｄ
ＤＷＯＲ．Ｄ
ＧＭＴｔｉｍｅ；
｛
ＷＯＲＤ ｓ１１ｐｋｔｔｙｐｅ；
＿
ｍｉｃｒｏＴｉｍｅ；
ＷＯＲＤ ｓｌｌ
ｈａｔｙｐｅ；
＿＿
ＤＷＯＲＤ
ＤＷＯＲＤ
ｃａｐｌｅｎ；
ＷＯＲＤ ｓｌｌｈａｌｅｎ；
＿
ｌｅｎ；
ＢＹＴＥ ｓｌｌ
ａｄｄｒ［８］；
＿＿
）；
ＷＯＲＤ ｓｌｌ
ｐｒｏｔｏｃｏｌ；
＿
其中：
ＧＭＴｆｉｍｅ和ｍｉｃｒｏＴｉｍｅ是数据包的捕获时间。
）；
ｓＵ＿ｐｋｔｔｙｐｅ为数据包类型，如果数据包是对端设备发送给
ｃａｐｌｅｎ和１ｅｎ是所捕获数据的长度。
下面是ＰＣＡＰ文件头的ｃ语言结构定义：
ｓｔｕＤｃｔ ＰＣＡＰＨＬＥＨＤＲ
＿＿＿
本机的，取值为０。如果数据包是发往其他设备的，取值为４。
ｓｌｌ
ｐｒｏｔｏｃｏｌ为协议类型，取值０ｘ００３０
＿
其他项目在程序中不使用，都置为０。
｛
ＤＷＯＲ．Ｄ ｍａｇｉｃ；
ＷＯＲＤ
ＷＯＲＤ
ｖｅｒｓｉｏｎ ｍａｊｏｒ；
ｖｅｒｓｉｏｎ＿ｍｉｎｏｒ；
ｔｈｉｓｚｏｎｅ；
ｓｉｇｆｉｇｓ；
ｓｎａｐｌｅｎ；
５数据的封装层次
数据的封装分２步完成。
①首先在交换机跟踪到的信令消息前面加上一个４字节
的ＬＡＰＤ＿ＨＤＫ，构成标准的ＬＡＰＤ数据帧 。然后，在ＬＡＰＤ
帧前面加上 个ＤＬＴ＿ＬＩＮＵＸ＿ＨＤＲ，构成ＤＬ１’＿ＬＩＮＵＸ＿
ＬＡＰＤ数据帧。最后，在ＤＬＴ＿ＬＩＮＵＸ＿ＬＡＰＤ数据帧的前面加
ＤＷＯＲＤ
ＤＷＯＩ￣Ｄ
ＤＷＯＲＤ
ＤＷＯＲＤ ｌｉｎｋｔｙｐｃ；
｝
其中：
ｍ￣ｇｉｃ为标识位：取值为０ｘＤ４Ｃ３Ｂ２Ａ１
上ＰＫＴ＿ＨＤＲ，构成ＰＣＡＰ文件的一个基本数据单元。其数据
单元结构，可以表示如下：
Ｐａｃｋｅｔ＝［ＰＫＴ＿ＨＤＲ．］［ＤＬＴ＿ＬＩＮＵＸ＿ＨＤＲ］［ＬＡＰＤ ＨＤＲ］
ｖｅｒｓｉｏｎ＿ｍａｊｏｒ为主版本号：默认值为０ｘ０２
ｖｅｒｓｉｏｎ．＿ｍｉｎｏｒ为副版本号：默认值为０ｘ０４
ｔｈｉｓｚｏｎｅ是区域时间：可以设置为０
￣ｉ＃ｇｓ是精确时间戳：可以设置为０
ｓｎａｐｌｅｎ是数据包最大长度：可以设置为０
始信令消息】
②将封装好的数据单元存入ＰＣＡＰ文件。这个过程比较
简单：先创建一个文件，然后在文件中写入文件头
ＰＣＡＰＦＩＬＥ
＿＿
ＨＤＩ￣。之后顺序写入第１步生成的数据包，最后
其结构可以表示如下：
ｌｉｎｋｔｙｐｅ是链路层类型：将此值设置为０ｘＢ１，表示后面的
关闭文件。生成的ＰＣＡＰ文件，
ＬＥ＝：［ＰＣＡＰ＿ＦＩＬＥ＿ＨＤＩＬ］［Ｐａｃｋｅｔ＿１］…［Ｐａｃｋｅｒ＿ｈｉ
数据包都是按照ＤＬＴ＿ＬＩＮＵＸ￣ＬＡＰＤ的帧格式进行存储。之
ＦＩ
所以选择这种帧格式，主要是因为ＤＬＴ＿ＬＩＮＵＸ￣ＬＡＰＤ在标
准ＬＡＰＤ帧格式的基础上，扩展出了一些额外的信息字节，通
６使用效果
根据上面的描述，制作了一个格式转换工具，用于将交换
机跟踪到的ＰＲ］信令消息封装成ｗｉｒｅｓｌｌａｒｋ软件可以读取的
ＰＣＡＰ格式，然后用ｗｉｒｅｓｌｌａｒｋ进行解码 。下面是解码前后的
数据对比：
过这些字节，可以标识出数据包的收发方向。到这里，又涉及
到了—个新的数据结构ＤＬＴ＿ＬＩＮＵＸ＿ＬＡＰＤ帧，下面介绍一
下这个帧结构。
２０１３年第２０期《 靴与网『络》 一
技术论坛
： ＿啊■ｌⅧ■ｌ— — Ｈ瑚 ■Ｉ＿＿＿ ｌ羿 ｂ 坩ＭＵ Ｗｌ Ｉ Ｉ口
／
解码之前的原始数据：
２Ｆ ００ ３６ ００ ＡＡ从５Ｅ ０２ ０１ ００ ００ ００ ００ ００ ００ ００／．６．
Ｅ．１６４ Ｃａｌｌｉｎｇ ｐａｒｔｙ ｎｕｍｂｅｒ ｄｉｇｉｔｓ：４３７０９４４０
从上面的例子可以直观看到，解码出的数据的可读性大大
【Ｉ Ｉ １．．．… 提高。那么解码的结果是否正确呢？参照技术规范《Ⅵ）Ｎｏ３４．
０８ ０２ ２９ ８３ ０５ Ａ１ ０４ ０３ ８０ ９０ Ａ３ １８ ０３ Ａ１ ８３ ８１ ｌＩ） ２－１９９７ ＩＳＤＮ用户一网络接口规范第２部分：数据链路层技
｝ＩＪ ｌ Ｉ ｌ Ｊ…ＩＪ Ｉ 术规范》对以上解析出的数据进行验证，以上关于消息类型，
１Ｅ ０２ ８０ ８３ ６Ｃ ０Ａ ２１ ８０ ３４ ３３ ３７ ３０ ３９ ３４ ３４ ３０ ｌＩ Ｉ Ｉｌｌ！主被叫号码Ｉ目等描述均正确。从以上的例子可以看到，通过构
［４３７０９４４０
７０ ０８ Ａ１ ３２ ３４ ３９ ３４ ３４ ３０ ３２ Ｐ Ｉ Ｉ ２４９４４０２
建ＰＣＡＰ数据包的方式，可以很直观地对信令数据进行解码。
有了这个工具的帮助，可以极大地提升工作效率。
原始数据包含”信令标识”、”承载能力”、”电路标识”、”
示的叫 竺 ： ７结束语
原始数据的可读性比较差，在工程实践中使用起来比较 一…一
。
困难，往往需要求助开发人员对信令数据进行人工解读。为了
提高工作效率，可以使用转换工具将跟踪到的信令源码打包
到一个ＰｃＡＰ文件，然后使用ｗｉｒｅ。ｈａｒｅ对这个文件进行解码。
下面是解码后的主叫部分：
Ｐｒｏｔ。ｃ０】ｄｉｓｃｒｊ ｉｎａｔ０ｒ：Ｑ．９３１
ｃａｌ１ 。ｆｅｒｃｎｃ。ｖａｌｕｅ ｌｅｎｇｔｈ：２
Ｗｉｒｅｓｌｌａｒｋ软件可以解析的协议非常多，并且可以通过
Ｌｕａ工具方便的添加对于新协议的支持。上面仅仅演示的是通
过构建数据包，让ｗｉｒｅｓｌｌａｒｋ帮助解析ＰＲＩ中继的Ｑ・９３ 协
议。同样，也可以通过构建数据包的形式，让ｗｉｒｅｓ｝ｌａｒｋ分析其
他的通信协议。在ｗｉｒｅ 比ｋ的帮助下，工作肯定更有效率。特
别是在一些工程调试时，由于还要顾及到成本问题，昂贵的信
令分析仪很难普及。在这些领域，掌握自己构建ＰＣＡＰ文件的
Ｃａｌｌ ｒｅｆｅｒｅｎｃｅｆｌａｇ：Ｍｅｓｓａｇｅ ｓｅｍｆｒｏｍ。ｒｉｇｉｎａｔｉｎｇ ｓｉｄｅ
ｃａｌｌ ｒｅｆｅｒｅ ｃｅ ｖａｌｕｅ：２９８３
Ｍｅｓｓａｇｅ ｔｙｐｅ：ＳＥＴＵＰ（ＯｘＯ５）
Ｓｅｎｄｉｎｇ ｃｏｍｐｌｅｔｅ
Ｃａｌｌｉｎｇ ｐａｒｔｙ ｎｕｍｂｅｒ：’４３７０９４４０＇
技术，进而利用Ｗｉｒｅｓｈａｒｋ对信令数据进行解析，更能发挥这
一自由软阵的价值。
Ｉｎｆｏｒｍａｄｏｎ ｅｌｅｍｅｎｔ：Ｃａｌｌｉｎｇ ｐａｒｔｙ ｎｕｍｂｅｒ 参考文献
Ｌｅｎｇｔｈ：１０
０００１ Ｎｕｍｂｅｒｉｎｇ ｐｌａｎ：Ｅ．１６４ ＩＳＤＮ／ｔｅｌｅｐｈｏｎｙ ｎｕｍｂｅｒｉｎｇ
【１】ＣＨＲＩＳ Ｓ．Ｗｉｒｅｓｈａｒｋ数据包分析实战【Ｍ］．北京：人民邮电出
版社。２０１３：３９—４０．
（ｏ）（ｏ ）
０１０… Ｎｕｍｂｅｒ ｔｙｐｅ：Ｎａｔｉｏｎａｌ ｎｕｍｂｅｒ（０ｘ０２）
【２】吕雪峰，彭文波，宋泽宇．网络分析技术揭秘【Ｍ】．北京：机械工
业出版社
．
２０１２：３６１—３６３．
ｕ…… Ｄ 。“ｍｄｉ 。的 ： “幻ｍ岫。“ 。“ｔｌｎｕ￣ｔｈｒｏ ｇｈ ［３】于跃
出。“。妣。 ｔｅ
…．．．
朱程荣．基于Ｌｉｎｕｘ嵌入式嗅探器的设计与实现Ｕ１．计
算机应用与软件
，
，
００＝Ｓｃｒｅｅｎｉｎｇ ｉｎｄｉｃａｔｏｒ：Ｕｓｅｒ－ｐｒｏｖｉｄｅｄ．ｎｏｔ ｓｃｒｅｅｎｅｄ
。 一
２ｏ０７，２４（６）：１６２—１６４．
，ｎｖｎｎ、
【４］ＹＤＮ０３４．２—１９９７ＩＳＤＮ．数据链路层技术规范【Ｓ］．
００…一：Ｐｒｅｓｅｎｔａｔｉ。ｎ ｄｉｃ抛ｒ：Ｐｒｅｓｅｎｔａｆｔ。ｎ ａｌｌｏｗｅｄ（ＯｘＯ０）
．
【５】白洁＿用ｗｉｒｅｓｌ１ａｒｋ抓包分析帧格式Ｕ】．电脑知识与技术，
２０１１，０７（２８）：６８３１—６８３２． １……．＝Ｅｘｔｅｍｉｏｎ ｉｎｄｉｃａｃｏｒ：ｌａｓｔ ｏｃｔｅｔ
Ｃａｌｌｉｎｇ ｐａｒｔｙ ｎｕｍｂｅｒ ｉｄ￣ｔｓ：４３７０９４４０ 【６】ＹＤＮ０３４．３ＩＳＤＮ．第三层基本呼叫控制技术规范【Ｓ】．
梭子鱼被ＩＤＣ评为内容安全设备及虚拟设备领导厂商
安全与存储解决方案领导厂商梭子鱼网络公司近日宣
布，公司再次在ＩＤＣ的《全球季度安全设备跟踪报告，第二季
度，２０１３年９月》中评为内容安全设备及虚拟设备领导厂商。
根据ＩＤＣ跟踪报告显示，梭子鱼以１４％的市场份额引领
进行研发投资的结果。”
作为硬件而提供的梭子鱼内容安全解决方案以及虚拟
设备解决方案包括：
梭子鱼病毒与垃圾邮件防火墙——其中包括同类最佳
内容安全设备及虚拟设备市场。这标志着梭子鱼已连续１１个 的垃圾邮件和病毒拦截、数据保护、ＤｏＳ防御、电子邮件连续
季度保持内容安全设备及 ｆ设备市场的领导地位。 性、加密和策略管理。
梭子鱼安全业务总经理Ｓｔｅｐｈｅｎ Ｐａｏ表示：“梭子鱼致力于 梭子鱼Ｗｅｂ安全网关——让互联企业能够得益于新技
提供业界领先的解决方案，防御互联网上传播最为迅速的威 术和在线工具，并且不会面Ｉ临恶意威胁、损失生产率、浪费带
胁。我们相信，ＩＤＣ全球季度安全设备跟踪报告中显示的增长 宽和丢失数据的风险。
体现了我们不断地对安全保护和简化ＩＴ业务的技术和方案 （刘晴）
《计算机与风络》２０１３年第２０期
发布评论