tcpdump本身不支持正则表达式匹配应用层内容，仅支持BPF语法过滤链路层至传输层字段（如IP、端口、协议、TCP标志位），应用层字符串匹配需借助-A/-X输出后用grep等工具二次处理，或保存为pcap后用tshark/Wireshark深度解析。

tcpdump 本身不支持正则表达式匹配应用层内容（比如 HTTP URL、JSON 字段、HTTP User-Agent 等），它用的是 BPF（Berkeley Packet Filter）语法，工作在链路层到传输层，能高效过滤 IP、端口、协议、TCP 标志位等字段，但无法解析和匹配应用层载荷中的字符串模式。

真正能做“正则匹配内容”的，是配合 -A 或 -X 输出后，用 grep、awk 等命令行工具做二次筛选——这属于外部文本处理，不是 tcpdump 内置能力。

---

✅ 正确理解 tcpdump 的过滤边界

• 能直接过滤的：

  • 协议类型（tcp、udp、icmp、arp）
  • 地址与方向（host 192.168.1.100、src port 443、dst net 10.0.0.0/8）
  • TCP 标志位（tcp[tcpflags] & tcp-syn != 0）
  • IP/TCP 头部字段（如 ip[6:2] & 0x1fff = 0 判断 IP 分片）

• 不能直接过滤的：

  • HTTP 请求路径（如 /api/v1/login）
  • TLS 握手中的 SNI（明文时也需解析 TLS 结构）
  • DNS 查询域名（udp port 53 and udp[10:4] = 0x03777777 是硬编码偏移，非正则）
  • 任意字符串（如 "password"、"Set-Cookie:"）

---

✅ 实用替代方案：抓包 + 文本流过滤

想查含特定文本的应用层流量，常用组合是：

sudo tcpdump -i eth0 -nn -A -s 0 port 80 | grep -i "login"

• -A：以 ASCII 方式打印载荷（适合 HTTP、SMTP 等明文协议）
• -s 0：捕获完整包，避免截断导致 grep 失败
• grep -i：忽略大小写匹配关键词

⚠️ 注意：

• 若流量加密（HTTPS、TLS），-A 只能看到密文，grep 无效；
• TCP 流可能被分片，单个包里未必包含完整请求行或关键词，结果可能漏报；
• 高速流量下，管道 grep 可能丢包（建议先 -w capture.pcap 保存再分析）。

---

✅ 更可靠的做法：保存后用 Wireshark 或 tshark 分析

sudo tcpdump -i eth0 -w http.pcap port 80
tshark -r http.pcap -Y 'http.request.uri contains "admin"' -T fields -e http.host -e http.request.uri

tshark（Wireshark 命令行版）支持真正的协议解码和显示过滤（-Y），可精准匹配 HTTP/HTTPS（SNI）、DNS、TLS 等应用层字段，比纯 tcpdump + grep 稳定得多。

---

✅ 小技巧：用 tcpdump 快速定位可疑载荷位置

虽然不能正则匹配，但可用 BPF 定位大概范围，缩小分析样本：

# 抓所有发往 80 端口、且载荷长度 > 100 字节的包（大概率含完整 HTTP 请求）
sudo tcpdump -i eth0 -w big-http.pcap 'port 80 and greater 100'

# 抓 TCP 包中 flag 为 PSH+ACK（常带应用数据）的流
sudo tcpdump -i eth0 'tcp[tcpflags] & (tcp-psh|tcp-ack) = (tcp-psh|tcp-ack)'

这样导出的 pcap 文件，再交给 tshark 或 Wireshark 做深度内容搜索，效率更高、结果更准。

不复杂但容易忽略：tcpdump 是“守门员”，负责高效收包；真正“读内容”的活，得交给懂协议的工具来干。