ssl - 使用 tcpdump 仅捕获 ssl 握手

Question

<分区>

Answer 1

我不知道你所说的握手到底是什么，但我建议这个命令可能会捕获你想要的 95% 以上的内容:

tcpdump -ni eth0 "tcp port 443 and (tcp[((tcp[12] & 0xf0) >> 2)] = 0x16)"

现在它做了什么:

• eth0:是我的网络接口(interface)，需要的话可以改
• tcp port 443:我想这是你的服务器监听的端口，如果你需要改变它
• tcp[((tcp[12] & 0xf0) >> 2)] = 0x16:有点棘手，让我们在下面详细说明

tcp[12]表示抓取tcp数据包的第13个字节，对应前半部分为offset，后半部分为reserved。 偏移量乘以 4 得到 TCP header 的字节数，这意味着 ((tcp[12] & 0xf0) >> 2) 提供 TCP header 的大小。

TLS 数据包的第一个字节定义了内容类型。值 22(十六进制为 0x16)已被定义为“握手”内容。

因此，tcp[((tcp[12] & 0xf0) >> 2)] = 0x16 捕获 TCP header 后第一个字节设置为 0x16< 的每个数据包.

可以执行更多过滤，但这严格回答了您的问题。