как браузер парсит странички?

grep -e '/<[\s]*html[^>]*>/i'

Да, учитывая что html может передаваться другими протоколами, то для обнаружения http лучше использовать другие методы.

да не -e а -P но в убунте мантейнеры чтото скомпилировали без поддержки перловых регекспов, за что им мой персональный лучик поноса.

->для обнаружения http лучше использовать другие методы.
какие?

http://ru.wikipedia.org/wiki/HTTP#.D0.A1.D1.82.D0.B0.D1.80.D1.82.D0.BE.D0.B2....

там есть версия протокола, метод и тп. Обрати внимание что в запросе присутствует третьим словом "HTTP/*.*" а в ответе тоже но первым, регекспом можно проверять, но думаю у пкапа есть готовый фильтр для http протокола, нужно лишь глянуть в справку.

->но думаю у пкапа есть готовый фильтр для http протокола, нужно лишь глянуть в справку.
нет, не нашел такого=(

Да, действительно, это значит специфичная для wireshark способность распознвать http, ну тогда как я писал выше по первой строке запроса и ответа.

Как парсить http, ясно, вопрос в том, как правильно собирать tcp- сеансы.

Посмотри как это в wireshark делается,

->Посмотри как это в wireshark делается, 
а он разве так умеет делать?

Ну он умеет собирать фрагментированные пакеты и строит сессию.