android - 我可以使用 tcpdump 获取 HTTP 请求、响应 header 和响应正文吗？

Question

我正在使用 tcpdump 通过执行以下命令来获取 HTTP 数据:

sudo tcpdump -A -s 1492 dst port 80

上述命令的结果:

1. header ，我认为是请求和响应 header 。
2. 不可读的数据。
3. 网址 GET/modules/mod_news_pro_gk1/cache/stories.ilbalad.ajayeb.strange-tractor.jpg。

我需要一个更清晰的结果，例如可读的请求 > 响应头 > 响应正文等。如何过滤我的结果？

Answer 1

有用于 HTTP GET 和 HTTP POST 的 tcpdump 过滤器(或两者都加消息正文):

• 运行 man tcpdump | less -Ip examples看一些例子

• 这是一个用于 HTTP GET 的 tcpdump 过滤器(GET = 0x47, 0x45, 0x54, 0x20):

  sudo tcpdump -s 0 -A 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420'
  

• 这是一个用于 HTTP POST 的 tcpdump 过滤器(POST = 0x50, 0x4f, 0x53, 0x54):

  sudo tcpdump -s 0 -A 'tcp dst port 80 and (tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x504f5354)'
  

• 监控 HTTP 流量，包括请求和响应 header 以及消息正文 (source):

  tcpdump -A -s 0 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'
  tcpdump -X -s 0 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'
  

有关 TCP header 中位旋转的更多信息，请参阅:String-Matching Capture Filter Generator (链接到 Sake Blok 的解释)。