Início / server / Perguntas / 504431
Accepted
Adam Matan
Asked: 2013-05-03 03:41:53 +0800 CST

Formato legível por humanos para cabeçalhos http com tcpdump

  • 772

Gostaria de visualizar os cabeçalhos HTTP enviados do Apache (ouvindo na porta 80) para o Tomcat (na porta 4080) em uma máquina Linux.

Segundo a Wikipédia ,

Os campos de cabeçalho são pares nome-valor separados por dois pontos em formato de string de texto simples.

Eu tentei algumas variações do seguinte tcpdumpcomando:

$ sudo tcpdump -lnX dst port 4080 -c 10

11:29:28.605894 IP SOME_IP.33273 > SOME_IP.4080: P 0:49(49) ack 1 win 23 <nop,nop,timestamp 1191760962 509391143>
    0x0000:  4500 0065 3a9f 4000 3f06 0084 628a 9ec4  E..e:.@.?...b...
    0x0010:  628a 9c97 81f9 0ff0 9e87 eee0 144b 90e1  b............K..
    0x0020:  8018 0017 fb43 0000 0101 080a 4708 d442  .....C......G..B
    0x0030:  1e5c b127 4845 4144 202f 6461 7070 6572  .\.'HEAD./dapper
    0x0040:  5f73 6572 7669 6e67 2f41 644d 6f6e 6b65  _serving/AdMonke
    0x0050:  793f                                     y?

O resultado era sempre o mesmo - uma estranha mistura de palavras sem sentido e em inglês (por exemplo HEAD, ).

Como posso visualizar os cabeçalhos em um formato legível por humanos?

http

3 respostas

  1. Best Answer

    Aqui está uma linha que criei para exibir cabeçalhos HTTP de solicitação e resposta usando tcpdump(o que também deve funcionar para o seu caso):

    sudo tcpdump -A -s 10240 'tcp port 4080 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' | egrep --line-buffered "^........(GET |HTTP\/|POST |HEAD )|^[A-Za-z0-9-]+: " | sed -r 's/^........(GET |HTTP\/|POST |HEAD )/\n\1/g'

    Ele limita o corte do pacote em 10Kb e conhece apenas os comandos GET, POST e HEAD, mas isso deve ser suficiente na maioria dos casos.

    EDIT : modificou para se livrar dos buffers em cada etapa para torná-lo mais responsivo. Precisa de Perl e stdbuf agora, então use a versão original se você não tiver esses: EDIT : Altera a porta do script de 80 para 4080, para realmente ouvir o tráfego que já passou pelo apache, em vez de tráfego externo direto que chega à porta 80:

    sudo stdbuf -oL -eL /usr/sbin/tcpdump -A -s 10240 "tcp port 4080 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)" | egrep -a --line-buffered ".+(GET |HTTP\/|POST )|^[A-Za-z0-9-]+: " | perl -nle 'BEGIN{$|=1} { s/.*?(GET |HTTP\/[0-9.]* |POST )/\n$1/g; print }'

    Algumas explicações:

    • sudo stdbuf -oL -eL faz o tcpdump executar buffer de linha
    • o filtro mágico tcpdump é explicado em detalhes aqui: https://stackoverflow.com/questions/11757477/understanding-tcpdump-filter-bit-masking
    • grep está procurando por qualquer linha com GET, HTTP/ ou POST; ou quaisquer linhas que se pareçam com um cabeçalho (letras e números seguidos de dois pontos)
    • BEGIN{$|=1} faz com que o perl execute buffer de linha
    • s/.*?(GET |HTTP/[0-9.]* |POST )/\n$1/g adiciona uma nova linha antes do início de cada nova solicitação ou resposta
    • 112

  2. Você pode obter algo próximo ao que deseja usando -A, por exemplo

    E....c@.@...
.....Ng.d.P..Ch.).....s.......
.A...u.BHEAD / HTTP/1.1
User-Agent: curl/7.29.0
Host: www.google.com
Accept: */*

    Lembre-se de usar -s 0para ter certeza de obter o pacote inteiro.

    Alternativamente, você pode usar wiresharkpara visualizar os cabeçalhos interativamente.

    • 22

  3. Tente usar http://justniffer.sourceforge.net/ É uma ferramenta melhor ou Wireshark com a opção "Follow TCP Flow", existem muitas opções melhores que o tcpdump para ver os cabeçalhos (solicitações/respostas)

    • 0

relate perguntas