дамп tcpdump'а

wireshark запускай

->wireshark запускай
акак в tcpdump'e весь пакет увидить?

1) tcpdump -w tcpdump.pcap
wireshark tcpdump.pcap

2) tcpdump -A ...
3) tcpdump -XX
4) man tcpdump

ну если я делаю вот так
tcpdump -AvvvXXi eth1 port 80
то у меня видны только заголовки пакетов http
я хочу понять как можно достать данные из pcap, ман курил, пока не понял(

tcpflow на файл tcpdump'a натравите...

->tcpflow на файл tcpdump'a натравите...
натравил, только wireshark, данных нет

>то у меня видны только заголовки пакетов http

вообще я заметил последнее время, что если запускать tcpdump -w file то содержимое пакетов он просирает, почему так, я не изучал, tethereal обладает тем же функционалом, но пакеты не просирает

надо добавлять
-s 0

Пока носом не ткнешь никак?

На смотри!

$ sudo tcpdump -i ppp0 -s 0 -w lor.tcpdump host linux.org.ru

В др. консоле:
$ wget http://www.linux.org.ru/favicon.ico
$ ls -l favicon.ico
-rw-r--r-- 1 sergey sergey 894 2008-10-02 21:34 favicon.ico

Смотрим на wireshark:
http://picasaweb.google.com/sdio4lor/Ooo#5252629214696340498

$ ls -l favicon_capture.ico favicon.ico 
-rw-r--r-- 1 sergey sergey 894 2008-10-02 21:39 favicon_capture.ico
-rw-r--r-- 1 sergey sergey 894 2008-10-02 21:34 favicon.ico

$ cmp favicon_capture.ico favicon.ico ; echo $?
0

>я хочу понять как можно достать данные из pcap, ман курил, пока не понял(

Дак может вам исходники tcpdump'а смотреть надо, а не созданый им файл?

->Дак может вам исходники tcpdump'а смотреть надо, а не созданый им файл?
да, спссибо тем кто откликнулся оказалось там прото ограничение по колличеству считываемых байт.
А как выхватить не только заголоки, но и данные?

        data = (char *) (pkt + header_offset + size_ip + size_tcp);
        size_data = (header->caplen - (header_offset + size_ip + size_tcp));
        if (size_data <= 0) return;
        if (strncmp(data, "GET", strlen("GET")) == NULL || strncmp(data, "HEAD", strlen("HEAD")) == NULL) {
                req = 1;
        } else if (strncmp(data, "HTTP/", strlen("HTTP/")) == NULL) {
               rsp = 1;