fix FAST with learnt longterm keys

epan/dissectors/pidl/drsuapi/drsuapi.cnf unicodePwd, ntPasswdHistory, Newer-Keys

nthashes

sq kerberos_inject_longterm_key

epan/dissectors/pidl/drsuapi/drsuapi.cnf disable debugging

epan/dissectors/packet-dcerpc.c remove debugging

epan/dissectors/asn1/spnego/packet-spnego-template.c remove debugging

regen epan/dissectors/packet-kerberos.*

regen epan/dissectors/packet-dcerpc-drsuapi.c

Partly drsuapi_dissect_element_package_PrimaryKerberosKey4_value_

sq decrypt drsuapi attributes

sq kerberos_inject_longterm_key

drsuapi_dissect_element_package_PrimaryKerberosKey*_value

kerberos_inject_longterm_key

keys array, but no keys subtree and no value

fix drsuapi_dissect_element_package_PrimaryKerberosBlob_version

regen epan/dissectors/packet-dcerpc-drsuapi.c

TODO drsuapi_dissect_package_PrimaryKerberosBlob

regen epan/dissectors/packet-dcerpc-drsuapi.c

epan/dissectors/pidl/drsuapi/drsuapi.cnf INLINE arrays

tools/pidl/lib/Parse/Pidl/Wireshark/NDR.pm TODO INLINE params

tools/pidl/lib/Parse/Pidl/Wireshark/NDR.pm Struct param_info

regen epan/dissectors/packet-dcerpc-drsuapi.c

package_dissector_fn_t

attr_dissector_fn_t

package dissectors

wmem_register_callback(pinfo->pool, drsuapi_GByteArray_destroy_cb, bytes);

hex to bytes epan/dissectors/pidl/drsuapi/drsuapi.cnf

supplementalCredentialsPackage package array...

more epan/dissectors/pidl/drsuapi/drsuapi.cnf

better ...

decrypt...

decryption works, but addid doesn't because of unique pointer layers

RID_CRYPT needed...

decrypt drsuapi attributes

dcerpc auth_session_key

epan/dissectors/pidl/drsuapi/drsuapi.idl =>  pushd epan/dissectors/pidl/ && make ;popd

TODO epan/dissectors/pidl/drsuapi/drsuapi.idl

regen

new PAC stuff TODO

regen

Revert "FAST..."

This reverts commit 52b4301e0fd8c6c2d63ff91c84ac2a7d16d918ea.

regen epan/dissectors/packet-kerberos.c

FAST

sq regen

sq epan/dissectors/asn1/kerberos/

regen

Cope wit FAST ordering

regen

FAST...

REGENERATE epan/dissectors/packet-kerberos.c => pushd epan/dissectors/asn1/kerberos && make && popd

Change-Id: Idc9d3a4a4e8ba0db3a002ece7a4c5a0faa480716

dummy

Change-Id: I36f0451d3c10a0d7954d7eec909056c0da0e1ea2

Revert "LATER packet-kerberos: ticket_checksum tmpvtb..."

This reverts commit be72b3cdb9ec0f6c4a54ea398f74fdc40a2b6fed.

LATER packet-kerberos: ticket_checksum tmpvtb...

Revert "TODO - test build - packet-kerberos: let decrypt_krb5_data() (of heimdal) use kerberos_all_keys"

This reverts commit 6b34cf2b05305ea0cd42614cd12e038c8b84992f.

TODO - test build - packet-kerberos: let decrypt_krb5_data() (of heimdal) use kerberos_all_keys

For now we use kerberos_all_keys, but in future we may select the
map based on passed usage.

Change-Id: I1f29e97aa60a41be3694b75bc4353b3a5dae0eae
Signed-off-by: Stefan Metzmacher <metze@samba.org>

Revert "LATER... ei_kerberos_kdc_session_key ..."

This reverts commit 160641c7c203ab757a623fd761e36877289cad49.

LATER... ei_kerberos_kdc_session_key ...

Change-Id: I2fa88e7f5412f65847da7d127666e2410e43ccb5

Revert "LATER... ei_kerberos_kdc_session_key ..."

This reverts commit 5df10f72082ef56e05ed1d2abc02243003d6ca52.

LATER... ei_kerberos_kdc_session_key ...

Change-Id: I2fa88e7f5412f65847da7d127666e2410e43ccb5

Revert "UNUSED enc_key_id_{equal,hash}"

This reverts commit e946bc8cc312bacc4ae415841d326605df582a82.

UNUSED enc_key_id_{equal,hash}

Change-Id: I246b813ba9178808a25a548b74f3b235773b5079

Revert "TODO packet-kerberos: decrypt_krb5_with_cb avoid kerberos_all_keys if possible"

This reverts commit b05d572969a3b9376bf3166f9793cfc04a707ea8.

TODO packet-kerberos: decrypt_krb5_with_cb avoid kerberos_all_keys if possible

Change-Id: If3d0dadb80bf1118c9c019f51b546c25e50455cb

packet-nmf: TODO more

Change-Id: Id087c6acbde6ba2047e044ca98daf102304afeda

packet-nmf: initial commit

Change-Id: I11bd7b727c77c5c7bd97421b8833c848cf605001

sq epan/dissectors/packet-xml.c wmem_packet_scope()

epan/dissectors/packet-xml.c fix segfault

epan/dissectors/packet-xml.c no printf

Change-Id: Idd13e4260270f72439273f7562a1f9409e9bb3ef

epan/dissectors/packet-xml.c try to decrypt data, but the data doesn't look correct yet

Change-Id: I84760941f6da2901eb94a9fc12c76144ef392ad6

more epan/dissectors/packet-xml.c

Change-Id: Ib4e027d79406ed7ac6cdcefb89cc252ad322b0c8

Revert "DEBUG epan/dissectors/packet-xml.c"

This reverts commit 2bd4ee0c27e26834cc6db47e18c6c721abfedf45.

DEBUG epan/dissectors/packet-xml.c

Change-Id: Icfe833203cbcfabd68eb267eabd6659d140cd68f

epan/dissectors/packet-xml.c o:BinarySecurityToken => GSSAPI
http://docs.oasis-open.org/wss/oasis-wss-kerberos-token-profile-1.1#GSS_Kerberosv5_AP_REQ

Change-Id: I412268f29c8a342d3fe9f1996f387484478bd85e

Revert "fix old idl"

This reverts commit dfcc43164cbbad389a02af420b8eb79bbad19f95.

Revert "sq h2"

This reverts commit cd2d739ed5463692fb6cf0355c6e8bc2f5bbda22.

sq h2

Change-Id: I79e3f45456ec118c8f4c1db6702e9e4eac041aa1

fix old idl

Change-Id: I713fd87769bfe91acea88007d0804d2a0c0ffd6d

epan/dissectors/pidl/regen.sh

Change-Id: Id72d8ac17893934fe9965ef8608530ac00684af1

prepare-pidl-patch

Change-Id: Ice5d7fe75438cb33bda4cf10059d80ab165a6eb7

epan/dissectors/packet-dcerpc.c dcerpc-hardening part1 & part2

Change-Id: I907663775f5ebfe66cb994266f99fc15bf645fb1

wiretap: add support for ETL traces (WAS 66fa3ee6455521f6b9f5c7251c0b5c3728953623)

ETL files are Windows native traces. They can be generated using
netsh:

    netsh trace start tracefile=c:\mytrace.etl capture=yes
    netsh trace stop

They are quite versatile: they store all sorts of system
information (TCP/IP stack state, processes running, ...) and system
events (syscalls, kernel stacks, ...), including network
traffic. It's pretty much the equivalent of strace, ftrace, /proc/
and tcpdump all bundled into one file.

The API to consume and produce those events on a Window system is
called ETW and it uses a myriad of different structs, some
undocumented.

https://docs.microsoft.com/en-us/windows/win32/api/evntcons/

ETL files are made of those structs which are simply dumped from
memory. The file format remains undocumented but can be figured out
by looking at the API struct definitions, hexdumps and some guess
work. Microsoft also has its own tool to explore those traces
(MessageAnalyzer) which was very useful to double-check some of the
findings.

Each event producer is called a Provider and they all have a
GUID. It seems the Provider responsible for generating the network
traffic events is "Microsoft-Windows-NDIS-PacketCapture".

Here is a pseudo-grammar of an ETL file

ETL        := ETW_BUFFER+
ETW_BUFFER := WMI_BUFFER_HEADER EVENT+
EVENT      := SYSTEM_TRACE_HEADER TRACE_LOGFILE_HEADER
           |  PERFINFO_TRACE_HEADER
           |  EVENT_HEADER <-- packets are here
           |  EVENT_INSTANCE_HEADER
           |  (other ignored types)

NETMON files use EVENT_HEADER stuctures similar enough that we can
reuse its dissector. But the structure varies enough that we have
to introduce a new WTAP_ENCAP_ETL value.

This ETL reader reuses existing Wireshark support:
- the netmon dissector will dissect the EVENT_HEADER itself.
- the messageanalyzer dissector knows about the NDIS Provider and
  will handle the ETW NDIS sub-payload.

Sample capture:
https://wiki.wireshark.org/SampleCaptures?action=AttachFile&do=get&target=small-system-misc-ping.etl

Bug: 15104
Change-Id: I0092df8b40b6dfe04893a526c484b849a5153bef

fix for netmon 3.x captures

metze

Revert "BROKEN: HACK setup decryption keys for kerberos session setups smbclient..."

This reverts commit ba6ef8da4cda1fdb8eacfc9574d1e91963ab1a6a.

BROKEN: HACK setup decryption keys for kerberos session setups smbclient...

Change-Id: I573e44de014ec318998e1bb612c95d877136594f

WAS: 1a12b30350d3b1252a5b3c0cb86f216bef6382f0 in ws-metze/20190425

Revert "reassamble TODO"

This reverts commit 928e5f57d0b4223f9e9460ca0452f64c4887625d.

reassamble TODO

Change-Id: I391cc75a5699d9de36decddf519c583cab78ca8b

wmem: allow wmem_destroy_list to ignore a NULL list.

I think this should not lead to a crash.

Change-Id: Ic9d903d355f925b2cd5239d51b42f441679ed771
Signed-off-by: Stefan Metzmacher <metze@samba.org>

packet-dcerpc-netlogon: use SEC_CHAN_* values from packet-dcerpc-misc

Signed-off-by: Stefan Metzmacher <metze@samba.org>

packet-smb2: add AES-256-* decryption

Signed-off-by: Stefan Metzmacher <metze@samba.org>

packet-ntlmssp: only mark invalid target_info lists without failing the rest

This copes with invalid target info AvPairs, see
https://bugzilla.samba.org/show_bug.cgi?id=14932
and
https://gitlab.com/wireshark/wireshark/-/issues/17817

Signed-off-by: Stefan Metzmacher <metze@samba.org>

Revert "NTLMv2 dissector: skip target info for AUTHENTICATE_MESSAGE"

This reverts commit e8e6a2c6df5ffaf983bdc8b4ccb88c340df8b6cf.

This introduced regression of skipping valid target_info blobs.

The next commit will fix
https://gitlab.com/wireshark/wireshark/-/issues/17817
in a better way.

Signed-off-by: Stefan Metzmacher <metze@samba.org>

Tools: Remove NPL.

Remove tools/npl. It doesn't appear to be used and hasn't had any
activity for many years. Ping #17897.

DTLS-SRTP: Set up SRTP and SRTCP sessions

Use the information in a use_srtp Extension in a Server Hello to
set up SRTP and SRTCP sessions according to RFC 5764. It is RECOMMENDED
that symmetric RTP be used with DTLS-SRTP, and RTP and RTCP traffic may
be multiplexed, so set up all four possible connections.

Fix #17905.

ieee80211: initialize local buffers.

Fix valgrind errors for jumps on non-initialized memory.

Fix: #17894.

SIP: Add 3GPP TS 24.229 SIP headers.

DNS: Base32-encode NSEC3 Next Hashed Owner Name

As the owner name of each NSEC3 record is Base32-encoded, the Next
Hashed Owner Name field in those records should also be displayed in
Base32-encoded form.  This enables the user to quickly tell what span of
hashed owner names is covered by a given NSEC3 record.

DTLS: comment out unused expert info

realtek: add support for some Realtek protocols.

This could be extended to handle some "switch tags" seen when capturing
from interfaces supporting the Linux DSA mechanism.

Docs: Update markup in the text2pcap man page.

Add an EditorConfig entry as well.

RTCP: Don't always Decode As SRTCP

If RTCP is chosen via Decode As, decode as RTCP.
If SRTCP is chosen via Decode As, decode as SRTCP (assuming that
all packets are encrypted, because we can't tell where the E bit is
in that case.)

If possible [S]RTCP is found via the heuristic dissector, assume either
RTCP or (encrypted) SRTCP based a preference. Perhaps later the heuristic
dissector could be improved to make a better decision.