在CentOS系统中，Sniffer（嗅探器）不仅是网络流量的“显微镜”，更是安全运维人员的“雷达”。它的核心价值在于：通过捕获和分析网络数据包，快速定位那些潜伏在流量背后的异常行为与攻击类型。那么，常见的攻击到底长什么样？Sniffer又能帮我们捕捉到哪些关键信号？下面直接上干货——这11种典型威胁，每一个都有明确的“指纹”特征。
- 挖矿病毒：CPU或GPU长时间被占用到100%，系统中间出现可疑进程，比如
xmrig、kworker、ddgs。这类进程往往伪装成系统服务，但资源消耗不会撒谎。 - DDoS攻击：服务器带宽突然被占满，用
netstat一看，大量连接处于SYN_RECV或TIME_WAIT状态；ps里则冒出成堆的httpd或nginx进程——这些都不是正常流量该有的样子。 - 后门木马：进程隐藏得很深，
ps列表找不到，但top里明明白白显示着；crontab里多出了可疑定时任务；用ss -antp查看端口监听，会发现root用户运行着非标准端口——这就已经敲响警钟了。 - 蠕虫病毒：短时间内文件系统发生大量变动，
top显示I/O负载异常高；同时服务器开始疯狂对外扫描其他IP，典型的自传播特征。 - 勒索病毒：文件被加密，扩展名变为
.lock或.encrypted；/tmp目录下出现不明可执行文件；ps里能看到wget或curl正在下载可疑文件——说明病毒可能刚刚落地。 - Webshell：网站目录（比如
/var/www/html/）里突然冒出一个陌生的脚本文件。这种后门往往体积小、调用频繁，Sniffer能捕捉到异常的HTTP请求模式。 - SQL注入攻击：数据库的
mysqld进程CPU飙升；网站日志中充斥着union select或or 1=1等拼接语句——这是攻击者在试探你的数据库。 - 暴力破解：
/var/log/secure里满是failed login记录；who命令显示陌生IP登录成功；ss -antp发现22端口有大量连接排队——SSH正在被轮番尝试。 - DNS劫持：
resolv.conf被篡改，DNS解析异常。比如ping google.com返回的IP地址莫名其妙变了，检查发现DNS记录被指向了8.8.8.8之外的一个未知IP——域名解析已经被动了手脚。 - 恶意袋里/隧道：
ps里发现了socat、nc、iodine这类隧道工具；服务器对外产生大量443或80端口的连接；iptables规则也被悄悄修改——数据正在被偷偷转发。 - ARP欺骗：
arp -a显示网关的MAC地址异常；内网通信变得不正常，流量莫名其妙跑到错误IP上；用tcpdump抓包会发现ARP报文数量激增——局域网内的冒名顶替正在发生。
最后必须强调一点：Sniffer工具本身是一把双刃剑。使用前务必确认已获得相应网络设备的授权，并严格遵守法律和隐私政策。没有合法依据的嗅探行为，本身就是越界操作。技术能力越强，责任边界越要清晰。
