linux中可直接用tcpdump捕获tls握手明文数据包，因clienthello、serverhello等握手消息未加密，仅需sudo tcpdump -i any -w handshake.pcap port 443即可完整抓取，后续用wireshark过滤tls.handshake分析；而应用层http等内容需密钥解密。
Linux 中无法直接抓取 SSL/TLS 加密后应用层数据（如 HTTP 内容），但可以完整捕获 TLS 握手过程的明文数据包——因为握手阶段（ClientHello、ServerHello、Certificate、KeyExchange 等）本身是未加密的，只在握手完成、密钥协商成功后才开始加密后续通信。
用 tcpdump 抓取 TLS 握手包
这是最常用且无需修改目标程序的方法：
- 确保你有 root 权限或已配置 tcpdump 的 capabilities（
sudo setcap cap_net_raw+ep /usr/bin/tcpdump） - 监听指定端口（如 HTTPS 默认 443）并保存为 pcap 文件：
sudo tcpdump -i any -w handshake.pcap port 443 - 触发一次 HTTPS 请求（例如
curl https://example.com），再 Ctrl+C 停止抓包 - 用 Wireshark 打开
handshake.pcap，过滤tls.handshake即可清晰看到 ClientHello、ServerHello、Certificate、ServerKeyExchange、ClientKeyExchange、ChangeCipherSpec、EncryptedHandshakeMessage 等完整握手流程
让 Wireshark 能解密 TLS 流量（需服务端私钥或客户端 NSS key log）
仅抓握手包还不够，若想查看「握手之后」的加密 HTTP 内容，需解密。常见方式有两种：
- 服务端场景：若有 Web 服务器（如 Nginx/Apache）私钥，可在 Wireshark 中设置 TLS 解密参数（Preferences → Protocols → TLS → RSA keys list），填入 IP、端口、协议（http）、私钥路径
-
客户端场景（推荐开发/调试）：设置环境变量让浏览器或 curl 输出预主密钥日志：
export SSLKEYLOGFILE=$HOME/sslkey.log
然后运行curl https://example.com或启动 Firefox/Chrome（需启用security.ssl.disable_session_identifiers等策略），Wireshark 加载该 log 文件即可解密整个会话
注意事项与常见问题
有些情况会导致抓不到完整握手，需排查：
- 确认网卡接口正确（
tcpdump -D查看可用接口），避免用错如lo（本地回环）而漏掉外部流量 - 现代 TLS 1.3 默认禁用重协商、合并部分握手消息（如 ServerHello 后直接发 EncryptedExtensions），Wireshark 3.2+ 才能良好解析
- 若使用代理或中间设备（如企业防火墙、HTTPS inspection），实际看到的可能是代理与服务器之间的握手，而非原始客户端行为
- 某些应用（如 Go 编写的二进制）可能绕过系统 SSL 库，不响应
SSLKEYLOGFILE，此时只能依赖握手包分析证书链、ALPN、SNI 等明文字段
抓取 TLS 握手本身不涉及解密，所以无需密钥也能完成；真正需要密钥的是分析加密的应用数据。重点始终是区分「握手明文」和「传输密文」这两个阶段。
