一、什么是tcpdump
tcpdump是一种包分析器（也叫做网络抓包工具），用于抓取网络数据包。它可以实时显示分组的详细信息，比如源头地址、目标地址、协议、包大小、时间戳等等，并将数据包以十六进制和ASCII码形式打印输出。tcpdump可以对网络流量进行详细的分析，对于网络问题的调试和研究非常有用。
二、如何使用tcpdump监控HTTPS流量
在使用tcpdump监控HTTPS流量之前，需要了解一下HTTPS的运作原理。HTTPS使用SSL/TLS协议进行加密传输。在客户端和服务器建立连接之后，会进行握手过程，以确保连接的安全性。握手过程包括证书验证、密钥交换等步骤。在握手成功之后，客户端和服务器之间的数据传输就会进行加密。
如果我们想要监控HTTPS流量，需要在客户端和服务器之间插入一个中间人攻击（Man-in-the-middle attack，简称MITM）来截获数据包。MITM攻击需要将本机配置成网关或者路由器，所有的数据包都经过本机，由本机进行拦截和转发。为了实现HTTPS流量的监控，我们需要装载自己的CA证书，并让客户端信任它，这样就可以伪装成服务器，截获并解密双方的数据流量。
下面是通过tcpdump监控HTTPS流量的步骤：
- 安装tcpdump
sudo apt-get update sudo apt-get install tcpdump
- 安装mitmproxy
sudo apt-get install libxml2-dev libxslt1-dev python-dev sudo -H pip install mitmproxy
- 启动mitmproxy
mitmproxy -T --host
这个命令会生成一个CA证书，并且打印出当前的IP地址和端口号。需要将证书导入到客户端中以实现HTTPS流量的截获。在浏览器中打开mitm.it网址，选择对应的操作系统，下载并安装证书即可。
- 使用tcpdump截获流量
sudo tcpdump -i any -w /tmp/https.cap port 443
该命令将截获所有端口为443的HTTPS流量，并将其保存至/tmp/https.cap文件中。
三、如何分析截获的流量
使用tcpdump截获HTTPS流量之后，需要使用其他工具进行分析、解密。如果使用Wireshark进行分析，需要在其设置中添加mitmproxy生成的CA证书，这样Wireshark就能够解密HTTPS流量并显示其明文。
如果想要通过命令行进行分析，则可以使用tshark工具。tshark是Wireshark的命令行版本，可以对类似的文件进行分析。下面是一个使用tshark对HTTPS流量进行分析的示例：
tshark -r /tmp/https.cap -T fields -e ip.src -e tcp.srcport -e ip.dst -e tcp.dstport -e http.request.full_uri -e http.response.full_header -e http.response.code
这个命令会读取/tmp/https.cap文件，并输出相关信息，比如源地址、目标地址、URI、HTTP响应码等。
四、注意事项
使用tcpdump监控HTTPS流量需要使用MITM攻击手段，具有一定风险，不建议在生产环境中使用。同时，由于HTTPS流量是加密传输的，需要进行解密才能查看明文。使用起来比较麻烦，建议在必要时进行使用。
