使用 tcpdump 检测 HTTP 会话

Question

我有一个跟踪文件，我想找到跟踪中成功访问的所有通过 HTTP 联系的 Web 服务器。

我在用着：

tcpdump -r 文件.trace - tcp 端口 80

也许我必须搜索向我发送响应数据包的服务器 IP 列表（我的意思是那些与我创建 HTTP 会话的服务器）。仅服务器，而不是其他 TCP 连接。我的意思是，我需要响应 HTTP 请求并发送 HTTP 响应的服务器 IP。

Answer 1

正确的命令是

  tcpdump -A -i eth0 -s0 host www.example.com and port 80

您可以省略上述任何选项：

  A resolve IP addresses 
  i bind to interface eth0
  s0 show full packet
  host is obvious
  port 80 show request and reply.

如果你省略 www.example.com，

  tcpdump -A -i eth0 -s0 dst port 80

将显示对端口 80 的所有请求，例如

  tcpdump -A -i eth0 src port 80

回复。您可以用 -r file 代替 -i eth0。有时，请记住您可能必须改用端口 8080。