在 CentOS 上提到“sniffer 日志”，需要先明确你指的是哪一种 sniffer / 抓包工具，因为不同工具的日志查看方式不一样。下面按常见情况说明：
tcpdump 本身不自动保存日志，一般是你手动抓包或脚本保存的。
tcpdump -r /path/to/file.pcap
例如：
tcpdump -r /var/log/sniff.pcap
tcpdump -i eth0
/var/log/
/tmp/
可搜索：
find / -name "*.pcap" 2>/dev/null
查看日志：
tshark -r file.pcap
实时：
tshark -i eth0
ausearch -m sniff
或：
cat /var/log/audit/audit.log | grep sniff
systemctl status netsniff-ng
journalctl -u netsniff-ng
或自定义日志路径（看配置文件）：
/etc/netsniff-ng/
可检查：
ps aux | grep sniff
或：
netstat -anp | grep sniff
可以直接搜：
rpm -qa | grep -i sniff
或：
which tcpdump tshark netsniff-ng
如果你能补充一下：
我可以给你更精确的命令。
