在CentOS系统上进行网络攻击分析时，Sniffer是一款不可或缺的实用工具。其实Sniffer并不神秘，它的核心功能是捕获网络中传输的数据包，并帮你深入分析其中细节——当然，真正掌握解析技巧需要一定的经验。
安装和配置Sniffer
要开始分析工作，首先需要安装工具。在CentOS上最经典的方式是通过yum安装Wireshark——这是一款被全球安全工程师广泛使用的协议分析器。安装命令很简单：
sudo yum install wireshark安装完成后，它自带的命令行工具tshark和图形界面版就都准备好了。不过在服务器生产环境中，通常使用命令行模式，因为很少有服务器配置桌面环境。
捕获网络流量
安装完毕后即可开始捕获。例如，要监控eth0接口上的所有流量：
tshark -i eth0该命令会使网卡进入混杂模式（promiscuous mode），从而接收所有经过的数据包。注意：这里的eth0仅为示例，你需要根据实际情况替换为你的网卡名称，可使用ip a或ifconfig命令查看。
分析捕获的数据包
数据包捕获后，使用Wireshark图形界面查看最为直观。但如果数据量巨大，或者你倾向于脚本化操作，使用tshark配合过滤规则会更加高效。例如，仅查看HTTP流量：
tshark -r input.pcap -Y "tcp.port 80"其中input.pcap是之前保存的抓包文件。过滤条件不限于80端口，你可以指定tcp.port 443、icmp，甚至根据源IP或目标IP进行筛选。关键在于——先明确你的分析目标，再应用过滤，否则面对成千上万条记录将难以处理。
识别攻击特征
接下来进入最有价值的环节：从海量数据包中识别异常行为。例如，DDoS攻击的特征非常明显——同一源IP像持续发送大量SYN包，目标端口随机分布。又如端口扫描，你会看到一台机器在短时间内对目标主机的多个端口发起连接尝试，这通常是攻击前的侦察阶段。更隐蔽的攻击如SQL注入，可能隐藏在HTTP请求的payload中，需要结合字符串特征进行匹配。
响应和预防
分析出攻击特征后，需采取行动。最直接的方法是封锁攻击IP：iptables -A INPUT -s 恶意IP -j DROP，或调整防火墙规则限制速率。但不要急于封禁，先确认是否为误报——有时正常业务流量也可能被误判。更深层的预防措施包括限制ICMP响应、关闭不必要的端口、启用IP白名单等。
最后提醒几点：第一，抓包需要root权限，务必使用sudo；第二，在生产环境抓包会增加CPU和网卡负载，特别是在高并发场景下，建议在业务低谷期或使用镜像端口；第三，也是最重要的——未经授权擅自抓包分析网络流量，可能触碰隐私和法律法规红线。技术本身是一把双刃剑，使用者必须清楚行为边界。
