tcpdump 无法直接识别 HTTP 协议，只能通过端口（如 80、443）和 TCP 过滤抓包；需用 -s 0 避免截断 Header/Body；HTTPS 抓包仅得加密流，解密需 SSLKEYLOGFILE 配合 Wireshark；验证可用 strings、tshark 或 ngrep。
tcpdump 怎么过滤指定端口的 HTTP 流量
直接用 tcpdump port 80 或 tcpdump port 443 就能抓到对应端口的 TCP 包，但 HTTP 协议本身没有“协议类型”字段可直接识别——tcpdump 只能靠端口、IP、TCP 标志位等底层特征过滤，不能像 Wireshark 那样解析 HTTP 方法或 URL。
所以所谓“捕获 HTTP 报文”，本质是捕获走 80/8080/443 等常见 HTTP(S) 端口的 TCP 流量。实际中建议显式加上 tcp 协议限定，避免误抓 UDP（比如 DNS）：
-
tcpdump -i any tcp port 80—— 抓所有接口上 80 端口的 TCP 包 -
tcpdump -i eth0 tcp port 8080 and host 192.168.1.100—— 指定网卡 + 端口 + 目标 IP - 如果想排除服务器响应（只看请求），可用
tcpdump 'tcp port 80 and tcp[tcpflags] & tcp-syn != 0'，但这不准确；更稳妥的是后续用tshark或ngrep做应用层筛选
为什么抓不到 HTTP 请求体或 Header
tcpdump 默认只截取每个包的前 68 字节（受 snaplen 限制），而 HTTP 请求行和头部通常在前 120–200 字节内，Header 后面的空行和 Body 更可能被截断。结果就是你看到 GET / HTTP/1.1，但看不到 User-Agent 或请求体内容。
解决办法是增大快照长度：
- 加
-s 0（全包捕获，推荐）：tcpdump -s 0 -w http.pcap tcp port 80 - 或指定足够大的值，如
-s 1500（覆盖典型以太网 MTU） - 注意：
-s 0会显著增加磁盘 I/O 和文件体积，生产环境慎用；若只关心方法和路径，-s 200往往够用
HTTPS 流量能用 tcpdump 抓吗
可以抓包，但看不到明文 HTTP 内容——因为 TLS 握手后所有 HTTP 报文都加密了。你只会看到 TCP 连接建立、TLS Client Hello/Server Hello、Application Data 记录，无法还原出 POST /login 或 JSON body。
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
若真需要解密 HTTPS：
- 服务端开启 SSLKEYLOGFILE（需应用支持，如 curl、Chrome、某些 Node.js 服务）
- 用
tcpdump抓包 +Wireshark导入 keylog 文件解密（tcpdump本身不支持解密） - 不要尝试用
tcpdump+openssl s_client实时解密——不可行，缺少 session key 上下文
保存后怎么快速确认抓到了 HTTP 请求
别打开 Wireshark，用命令行快速验证：
- 用
strings提取可读文本：strings http.pcap | grep -i "GET\|POST\|HTTP/1"（有匹配基本说明抓到了） - 用
tshark（Wireshark 命令行版）直接解析：tshark -r http.pcap -Y "http.request.method == GET" -T fields -e http.request.full_uri - 用
ngrep类似 tcpdump 但支持应用层正则：ngrep -d any -W byline port 80（实时显示明文 HTTP） - 注意：
ngrep不支持 TLS 流量，且对分段 HTTP 包识别不稳定，适合调试阶段快速查看
端口只是线索，不是 HTTP 的身份证；真正区分 HTTP 流量得靠后续分析工具。别指望 tcpdump 一步到位输出“漂亮的 HTTP 日志”。
