代码流程

通过process_packet_single_pass处理单个数据包，每层数据包都会使用decode_udp(tcp)_ports识别协议，这里面提供端口和特征识别；

端口识别：dissector_try_uint_new

在接口内通过find_uint_dtbl_entry

如果是一个HTTP数据包，在这里就会通过接口获取key为80的对象。

特征识别：dissector_try_heuristic

关于特征识别，wireshark是不太注重的，因为其使用场景多为协议分析，读取文件的形式。对于特征流量都会通过协议首选项随时配置。

在接口里面

那么怎么让协议支持特征识别，才是话题里关心的。在wireshark中，他所有的协议相关操作，都是通过一个全局变量处理的，变量的内容就是一个关于接口描述和接口回调的成员。所有协议都在里面，我们以http示例。

这个文件的位置在

build/epan/dissectors/dissectors.c

变量名：注册解析处理回调

dissector_reg_handoff

其中http特征位置在

proto_reg_handoff_message_http接口，看一下里面做了什么

很简单，对比其他工具特征识别逻辑（比如suricata的hyperscan），wireshark针对特征识别真的很简单。。。。。。。