如何阻止tcpdump截断http有效载荷？

Question

我正在尝试进行捕获，并在“[！http]”中途看到有效载荷的一半。有没有办法让它显示整个有效载荷？

我正在执行REST调用并希望查看服务器正在接收的内容：

                  <value>0x100000</value>
                </attribute>
              </greater-than-or-equals>
              <less-than-or-equals>
                <attribute id="0x129fa">
                 [!http]
    16:34:06.549662 IP (tos 0x0, ttl 255, id 49564, offset 0, flags [DF], proto TCP (6), length 1301)

我正在使用：

tcpdump -vvv -i ens192 tcp port 8080 and src 192.168.1.1

任何帮助，将不胜感激。

非常感谢

坦率

Answer 1

这个问题很可能与您捕获的内容关系不大，而且与有效负载大于单个数据包的关系更多。

当你运行tcpdump时，默认情况下是捕获长度与接口MTU相匹配的数据包（至少）。如果您不确定，可以通过指定捕获长度为零来覆盖此值：

 tcpdump -s 0 -w captureFile.cap

同样，这可能不是问题所在。其余数据更有可能位于下一个TCP段中。不幸的是，tcpdump不是提取会话数据的理想工具。我建议您查看Wireshark（或tshark），它将允许您轻松选择数据包，然后重新组装数据流，同时删除所有IP和TCP标头。