tcpdump 可通过 -xx 和 tcp 头偏移计算精准提取应用层加密 payload 十六进制数据，配合 -s、-nn 及禁用 tso/gso 避免干扰，再导入 wireshark 以 raw 方式查看和导出验证。
在 Linux 中用 tcpdump 以十六进制格式打印应用层 payload，是排查业务自定义加密协议、混淆传输或 TLS 未覆盖的私有加密逻辑的有效手段。关键在于精准捕获目标流量，并跳过 TCP/IP 头部，只显示应用层原始字节（含加密后的二进制数据），同时避免被分片、重传或乱序干扰分析。
确认目标端口与连接方向
业务加密通常走固定端口（如 8080、9999 或自定义端口），且可能仅在特定请求/响应中触发。先用基础命令定位：
- 抓取指定端口全部流量：
tcpdump -i any port 8080 -w debug.pcap（保存供后续详细分析） - 过滤客户端→服务端方向（如加密请求）：
tcpdump -i any 'tcp port 8080 and src host 192.168.1.100' -w req.pcap - 加
-A可先粗看 ASCII 可读部分，快速判断是否有明文特征（如 JSON 开头、base64 片段），辅助判断加密是否已生效
跳过网络层头部，提取纯应用层 payload
tcpdump 默认输出含完整帧结构，但加密 payload 在 TCP 数据段起始位置后。使用 -xx 显示链路层+网络层+传输层的十六进制，再配合 cut 或 awk 剥离前导字节；更推荐直接用 -X + tcp[12:1] 计算偏移量：
- TCP 头长度由 Data Offset 字段（第 12 字节高 4 位）决定，单位为 4 字节。例如：若
tcp[12] & 0xf0= 0x50 → 头长 20 字节 → payload 起始偏移为 20 - 直接打印从 TCP 头后开始的 256 字节 payload（常用够用）：
tcpdump -i any 'port 8080 and tcp' -XX -c 5 | awk '/^\s+[0-9a-f]+:/ {line=$0; gsub(/^ +| +$/,"",line); if (length(line) > 50) print substr(line, index(line," ")+1)}' - 更稳妥做法：先用
tshark -r debug.pcap -T fields -e tcp.len -e data.data | grep -v "^0\t"提取实际 payload 长度和 hex，适合批量分析
避免干扰：禁用 TCP 重组与时间戳选项
业务加密逻辑常对字节流敏感（如 AES-CBC 依赖完整块、RSA 填充校验严格），若 tcpdump 自动重组或因 TCP 选项（如 TSval）引入额外字节，会导致 hex 输出失真：
- 加
-S使用绝对序列号，避免相对序号混淆 payload 对齐 - 加
-nn禁用端口/主机名解析，防止 DNS 查询干扰抓包时序 - 避免在高负载环境用
-C分卷或-G定时截断，以防加密报文被切到两个文件 - 必要时在网卡侧关闭 TSO/GSO：
ethtool -K eth0 tso off gso off，减少大包分片影响
结合 Wireshark 交互式验证（可选但推荐）
终端 hex 阅读效率低，尤其面对变长加密头或嵌套结构。建议将 pcap 用 tcpdump -r debug.pcap -w clean.pcap 标准化后导入 Wireshark：
- 右键某 TCP 流 → Follow → TCP Stream → 切换 Hex Dump 视图，直观查看双向 payload 十六进制
- 用 Decode As… 将某端口强制设为
Raw，防止 Wireshark 误解析为 HTTP/SSL 导致加密字节被隐藏 - 对疑似加密块（如全随机字节、固定长度重复模式），用 Export Packet Bytes 导出 raw 二进制，供本地解密脚本验证
