[tcpdump] HTTP 트래픽 분석

개요

tcpdump 명령어로 HTTP 트래픽 분석

 

 

HTTP GET 필터링

shell> tcpdump -s 0 -A 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420' -i eth0

- tcp[((tcp[12:1] & 0xf0) >> 2):4] : data offset( tcp[12:1] & 0xf0) >> 2 ) 부터 4byte 값

- 0x47455420 : GET 을 16진수바이트(hexadecimal bytes,헥사코드)로 표현한 값(*GET 뒤에 공백있음)

 -A : ascii 출력

 -s 0 :  snaplength

 

HTTP POST 필터링

tcpdump -s 0 -A 'tcp dst port 80 and (tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x504f5354)' -i eth0 

** 0x504f5354 : POST를 16진수바이트(hexadecimal bytes,헥사코드)로 표현한값

 

HTTP Request, Response 모든 트래픽 필터링

tcpdump -A -s 0 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' -i eth0