Tshark過濾http/https獲取請求

Question

我只需要查看HTTP GET請求HOST一次（僅網頁），只能從已定義的源ip中查看，而不能查看其他信息/數據。

該網址的第一個請求。

例如：

從客戶端發生的事情到服務器的第一個數據包。

GET/HTTP/1.1\r\n 

我應該添加哪些過濾器？我已經嘗試了很少，但仍然得到太多的信息/數據...

是否有任何可能查看HTTPS第一個請求包呢？查看客戶端發送請求的位置？

Answer 1

如果你在選擇Un * X平臺，你可以嘗試這樣的：

tshark -r file.pcap -Y 'ip.src == 1.2.3.4 and http.request.method == "GET"' -T fields -e http.request.method -e http.request.version -e http.request.uri | head -n 1 

...或者你想使用http.request.full_uri代替http.request.uri？

如果您使用的是Windows，則可能需要以使用head安裝Cygwin的coreutils，你可能要引用的東西有點不同，例如：

tshark -r file.pcap -Y "ip.src == 1.2.3.4 and http.request.method == \"GET\"" -T fields -e http.request.method -e http.request.version -e http.request.uri | head -n 1 

對於HTTPS，你會需要解密SSL。您可以閱讀Wireshark SSL wiki page上的如何操作。