Tcpdump结合Wireshark分析Http/TCP报文

tcpdump -w output.cap -s0

-s 0 -s：指定抓包显示一行的宽度，-s0表示显示完整的包，最好加上，否则很多包都会被截断，就看不全了

-w 　　　直接将包写入文件中，并不分析和打印出来；

#tcpdump –r google.cap http

这句命令的意思是让tcpdump读取google.cap文件，把其中http协议的数据包都给过滤出来。

wireshark可以在图形界面下分析应用层按照TCP/IP四层结构显显示数据包，

第一行是数据链路层的信息，

第二行是网络层信息（IP协议），

第三行是传输层信息（TCP协议），

第四行是应用层信息（HTTP协议），

可以展开每一行用来观察具体的内容