tcpdumpでHTTPパケットのみを出力させたい

Question

tcpdumpでtcp 3wayハンドシェイクやSSL/TLSのハンドシェイクを出力させず,HTTPリクエストとレスポンスのみを出力させるにはどうすればいいのでしょうか？

環境
CentOS6.4
tcpdump version 4.1-PRE-CVS_2012_03_26
apache 2.2.15

Answer 1

以下のコマンドで、ハンドシェイクの３つのパケットのうち２つのパケットと、切断の３つのパケットのうち２つのパケットをキャプチャしないようにできます。
ハンドシェイクの３つめのパケットと切断の３つめのパケットはフラグだけでは判別できず、TCPのストリームの流れを追わなくてはなりません。

tcpdump -i any 'tcp port 443 and tcp[tcpflags] & (tcp-syn | tcp-fin) == 0'

TLS/SSLはハンドシェイクが複雑すぎですので、tcpdump のフィルタだけで全てを除外するのは困難です。

キャプチャ時は高速にキャプチャし、パケットをドロップしないように、port と mac アドレス以外のフィルタはかけません。
キャプチャ後にwireshark のディスプレイフィルタなどで、表示だけを切り替えます。
今回の場合は、PHP側で、TCPのストリームを追って、SYN付きのパケットから３つは表示しない、FIN付きのパケットから３つは表示しないとするべきでしょう。

Comments

[arashigaoka38]

回答ありがとうございます．
教えていただいた方法の目的が実現出来そうです．

Answer 2

tcpdumpではご質問のことを実現するのは困難ではないかと思います。
そもそも、どのような経緯があって、ハンドシェイクを出力させたくないかを教えて下さい。
それらがキャプチャされて不都合な事情というのが、あまり思いつかないので。

Comments

[arashigaoka38]

回答ありがとうございます．
研究のために、SSL/TLSのパケットのサイズを取得したいのでtcpdumpを用いて取得することにしました。
そこで、PHPから、tcpdumpが出力したファイルを扱いたいのですが、ハンドシェイクまで出力すると出力が多すぎるので、HTTPリクエスト/レスポンスのみ出力できないかと考えて質問致しました。