在CentOS系统中，Sniffer（通常指Wireshark）是一种强大的网络监控和分析工具，能够捕获和分析网络流量，从而帮助识别多种异常行为。以下是使用Wireshark进行异常行为检测的基本步骤：
安装Wireshark
首先需要在CentOS系统上安装Wireshark。可以通过yum包管理器来完成安装：
sudo yum install wireshark
捕获数据包
安装完成后，可以通过启动Wireshark应用程序来开始捕获网络数据包：
tshark -i eth0 -w output.pcap
这里的 eth0 是网络接口，output.pcap 是保存捕获数据包的文件名。
分析数据包
捕获数据包后，可以使用Wireshark强大的搜索和过滤功能来查找特定的数据包，或者使用分析工具来深入了解网络流量。例如，要查看特定端口的流量，可以使用以下命令：
tshark -i eth0 port 80
检测异常行为
通过观察数据包的内容，可以识别出异常行为。例如：
- 挖矿病毒：CPU或GPU长时间占用100%，出现异常进程（如xmrig、kworker、ddgs）等。
- DDoS攻击：服务器带宽异常占满，netstat显示大量syn_recv、time_wait状态，ps发现大量httpd/nginx进程等。
- 后门木马：隐藏进程，ps进程列表找不到但top能看到，crontab中出现可疑定时任务，端口监听异常（ss -antp显示root运行的非标准端口）等。
- 蠕虫病毒：短时间内大量文件变动，top显示异常高I/O负载，服务器对外疯狂扫描其他IP等。
- 勒索病毒：文件被加密（扩展名.lock、.encrypted），/tmp目录下出现未知可执行文件，ps发现wget/curl下载可疑文件等。
- Webshell：网站目录（/var/www/html/）出现陌生脚本文件等。
- SQL注入攻击：数据库mysqld进程CPU异常升高，网站日志出现大量union select或or 11语句等。
- 暴力破解：/var/log/secure出现大量failed login记录，who发现陌生IP登录，ss -antp发现22端口大量连接等。
- DNS劫持：resolv.conf被篡改，DNS解析异常，ping google.com解析IP变化，服务器DNS记录被改到8.8.8.8之外的未知IP等。
- 恶意代理/隧道：ps发现socat、nc、iodine等隧道工具，服务器对外大量443/80连接，iptables规则被修改等。
- ARP欺骗：arp -a显示异常网关MAC，内网通信异常，流量到达错误IP，tcpdump发现ARP报文激增等。
响应异常
一旦识别出异常行为，可以采取相应的措施，比如隔离受影响的系统、更改密码、更新安全策略等。
注意事项
使用Sniffer进行网络监控时，应遵守相关法律法规，确保不侵犯用户隐私和数据安全。
以上步骤可以帮助您在CentOS系统中使用Wireshark有效地检测异常行为。
