centos sniffer怎么分析数据

在 CentOS 上，“sniffer”通常指抓包/网络分析工具（如 tcpdump、Wireshark、tshark 等）。下面按常见场景给你讲怎么“抓 + 分析数据”。

一、常用 sniffer 工具

1. tcpdump（最常用，命令行）

yum install -y tcpdump

2. tshark（Wireshark 命令行版）

yum install -y wireshark

3. Wireshark（图形界面，需桌面环境）

一般不在服务器上用。

二、基础抓包（tcpdump）

抓所有网卡流量

tcpdump -i any

抓指定网卡

tcpdump -i eth0

抓指定 IP

tcpdump host 192.168.1.10

抓某个端口（如 80）

tcpdump port 80

保存为 pcap 文件（重点）

tcpdump -i eth0 -w test.pcap

三、数据分析方式

方式 1：直接在服务器上看（基础分析）

tcpdump -i eth0 port 80 -nn

常用参数：

• -nn：不解析主机名和端口名
• -X：显示十六进制 + ASCII
• -A：只显示 ASCII（看 HTTP 很方便）

示例（看 HTTP 请求）：

tcpdump -i eth0 port 80 -A

方式 2：保存后下载到本地用 Wireshark 分析（推荐）

1. 服务器抓包

tcpdump -i eth0 -w capture.pcap

2. 下载到本地

scp root@centos:/root/capture.pcap .

3. 本地用 Wireshark 打开

• 看 TCP 流
• 看 HTTP / DNS / TLS
• 分析重传、延迟、异常

方式 3：用 tshark 做高级分析（无需图形）

tshark -r capture.pcap

按协议统计：

tshark -r capture.pcap -q -z io,phs

看 HTTP 请求：

tshark -r capture.pcap -Y http

四、常见分析场景

1. 看是否有网络丢包

tcpdump -i eth0 'tcp[tcpflags] & (tcp-rst|tcp-syn) != 0'

2. 分析 TCP 重传

tshark -r capture.pcap -Y "tcp.analysis.retransmission"

3. 看 DNS 解析

tcpdump -i eth0 udp port 53

五、注意事项

• 需要 root 权限
• 高流量服务器抓包可能影响性能
• 建议只抓必要端口/IP
• 生产环境用 -w 存文件，别直接屏幕刷

如果你能告诉我：

• 你用的是 tcpdump 还是 Wireshark
• 想分析的是 HTTP / TCP / 网络延迟 / 安全

我可以直接给你针对性的分析命令。