tcpdum,tcpflow или что там еще...

Одним действием - никак, ИМХО. сначала собираешь интересующий тебя трафик ( т.е. tcp port 80 ) в файл, затем tcpflow бьёшь его на отдельные потоки, а потом обычным grep'ом. Т.к. то что ты привёл - это данные высокого уровня.

Так тогда tcpflow то и не нужен, критерии в tcpdump-е можно поставить...

у wiresharka и tcpdump-а одинаковый синтаксис условий, т.к. они основаны на одной библиотеке, так что если «http.referer.uri contains „bla-bla“» это именно условие захвата трафика, а не фильтр уже захваченного, то просто используй его напрямую

А вы сами пробовали, прежде чем отвечать?

tshark [other options] [ -R «filter expression» ]