Tshark过滤http / https获取请求

Question

我只需要看一次HTTP GET请求HOST一次（只有网页），只能从已定义的源IP，而不是其他信息/数据。

对该网址的第一个请求。

例如：

从客户端到服务器的第一个数据包。

GET / HTTP/1.1\r\n

我应该添加哪些过滤器？我尝试过很少，但仍然得到太多的信息/数据...

是否有可能查看HTTPS第一个请求数据包？要查看客户端发送请求的位置？

Answer 1

如果您使用的是Un * x平台，可以尝试以下方法：

tshark -r file.pcap -Y 'ip.src == 1.2.3.4 and http.request.method == "GET"' -T fields -e http.request.method -e http.request.version -e http.request.uri | head -n 1

...或者您想使用http.request.full_uri代替http.request.uri？

如果你在Windows上，你可能需要安装Cygwin coreutils才能使用head，你可能需要引用一些不同的东西，例如：

tshark -r file.pcap -Y "ip.src == 1.2.3.4 and http.request.method == \"GET\"" -T fields -e http.request.method -e http.request.version -e http.request.uri | head -n 1

对于https，您需要解密SSL。您可以在Wireshark SSL wiki page上了解如何执行此操作。