编写 Wireshark Lua/Tap 脚本以计算 TCP 流的数量

我没时间为你编写代码，但这里是从我编辑你其他问题答案中复制的一些信息：

传递给每个数据包的 TCP tap 的 C 结构体如下：

/* the tcp header structure, passed to tap listeners */
 typedef struct tcpheader {
        guint32 th_seq;
        guint32 th_ack;
        gboolean th_have_seglen;        /* TRUE if th_seglen is valid */
        guint32 th_seglen;
        guint32 th_win;   /* make it 32 bits so we can handle some scaling */
        guint16 th_sport;
        guint16 th_dport;
        guint8  th_hlen;
        guint16 th_flags;
        guint32 th_stream; /* this stream index field is included to help differentiate when address/port pairs are reused */
        address ip_src;
        address ip_dst;

        /* This is the absolute maximum we could find in TCP options (RFC2018, section 3) */
        #define MAX_TCP_SACK_RANGES 4
        guint8  num_sack_ranges;
        guint32 sack_left_edge[MAX_TCP_SACK_RANGES];
        guint32 sack_right_edge[MAX_TCP_SACK_RANGES];
} tcp_info_t;

因此，在 C 语言的 taps 中，“数据”参数指向此类结构的结构体作为 tap 监听器的“数据包”例程。

对于 Lua 的 taps，传递给 tap 监听器的“数据包”例程的第三个参数“tapinfo”表被描述为“基于 Listener 类型的信息表，或为空”。对于 TCP tap，表中的条目包括该结构中除sack_left_edge 和 sack_right_edge之外的所有字段；表中的键是结构成员名称。

th_stream字段标识连接；每次 TCP 解析器找到新的连接时，它都会分配一个新的值。正如注释所示，“此流索引字段包括以帮助区分在重复使用地址/端口对时”，因此，如果给定连接关闭，并且稍后的连接使用相同的端点，则两个连接具有不同的 th_stream 值，即使它们具有相同的端点。

因此，你需要一个表，使用 th_stream 值作为键。该表将存储端点（地址和端口）以及每个方向上的数据包和字节数。对于传递给监听器的“数据包”例程的每个数据包，你需要在表中查找 th_stream 值，并且如果你没有找到它，你需要创建一个新的条目，将计数从零开始并使用该新条目。否则，你需要使用你找到的条目。然后，你需要确定数据包是从 A 到 B 还是从 B 到 A，然后增加相应的数据包计数和字节计数。

你还需要跟踪时间戳。对于第一个数据包，你需要存储该数据包的时间戳。对于每个数据包，你需要查看时间戳，如果它比存储的时间戳晚一分钟或更长时间，则：

• 导出连接表中的统计信息；
• 清空连接表；
• 存储新数据包的时间戳，替换先前存储的时间戳。