如何仅从tshark返回Http标头？

我正在使用tshark嗅探我的数据包，而我只关心http标头（最好以其发送的形式，但我会尽力而为）。

我尝试使用：

tshark tcp port 80 or tcp port 443 -V -R "http"

这给了我标题，但也给了我内容（我不想要它，因为它要分析大量的垃圾）。我真的只关心标头，是否有任何简单的方法来获取标头（除了自己解析数据之外）。

编辑：我应该证明我也关心主机/端口，以便可以跟踪多个数据包中的请求。

您可以使用特定的HTTP标头显示过滤器来仅显示请求标头，仅显示响应标头或同时显示这两个标头。

仅针对请求标头：

tshark tcp port 80 or tcp port 443 -V -R "http.request"

仅针对响应头：

tshark tcp port 80 or tcp port 443 -V -R "http.response"

对于请求和响应头：

tshark tcp port 80 or tcp port 443 -V -R "http.request || http.response"

注意：这不仅会过滤出标头，也不会仅过滤出包含标头的数据包，因此您可能仍会获得一些数据，但是数据量应少于其他情况。

实际上可以！以前的所有答案都非常接近。您只需要-O标记即可过滤掉除HTTP之外的所有信息。

tshark -O http -R http.request tcp port 80 or tcp port 443

我能够组合来自@heavyd的答案，并通过我从SO文章获得的sed过滤器运行它-（FJ的答案）来煮熟这个婴儿，它只过滤出标题：）

sudo tshark tcp port 80 or tcp port 443 -V -R "http.request || http.response" | sed -rn '/Hypertext Transfer Protocol/{:a;N;/    \\r\\n:?/{/.*/p;d};ba}' >> /tmp/filtered

我自己的过滤器版本，易于阅读：

tshark -V -R "tcp.port ==80 && (http.request || http.response)" | awk "/Hypertext Transfer Protocol/,/Frame/ { print };/Transmission Control Protocol/{print};/Internet Protocol/{print}" | grep -v Frame

这样，我只能看到相关的IP和TCP信息，而不会看到所有低级内容，还有完整的HTTP信息。