centos sniffer怎么分析日志

在 CentOS 上提到“sniffer 分析日志”，通常有两种理解：

1. 用 sniffer（抓包工具，如 tcpdump / Wireshark）分析网络日志
2. 分析系统或应用日志（如 /var/log 下的日志）来排查网络/安全问题

下面我分别说明常见做法。

一、用 sniffer（tcpdump）抓包并分析

1. 安装 tcpdump

yum install -y tcpdump

2. 基本抓包

tcpdump -i eth0 -nn

3. 抓包并保存为文件（供后续分析）

tcpdump -i eth0 -w /tmp/capture.pcap

4. 分析 pcap 文件

• 在 CentOS 上用 tcpdump 读：

tcpdump -r /tmp/capture.pcap

• 或用 Wireshark（Windows / 桌面 Linux）：

# 把 pcap 拷出来用 Wireshark 打开

5. 常见过滤条件

# 只看某 IP
tcpdump host 192.168.1.10

# 只看某端口
tcpdump port 80

# 只看 TCP
tcpdump tcp

# 排除某 IP
tcpdump not host 192.168.1.1

二、分析 CentOS 系统日志（和“sniffer”相关）

1. 常见日志位置

/var/log/messages      # 系统日志
/var/log/secure        # 认证、SSH 登录
/var/log/dmesg         # 内核日志
/var/log/httpd/        # Apache
/var/log/nginx/        # Nginx

2. 实时查看日志

tail -f /var/log/messages

3. 查找异常连接（结合 sniffer 思路）

# 查看当前连接
ss -antp
# 或
netstat -antp

4. 分析 SSH 暴力破解

grep "Failed password" /var/log/secure

5. 使用 journalctl（systemd）

journalctl -xe
journalctl -u sshd

三、进阶：用工具辅助分析

1. 网络流量分析

• Wireshark（图形）
• tshark（命令行 Wireshark）

yum install -y wireshark
tshark -r capture.pcap

2. 日志分析工具

• grep / awk / sed
• goaccess（Web 日志）

yum install -y goaccess
goaccess /var/log/nginx/access.log -o report.html

四、典型排错思路（sniffer + 日志）

1. 发现网络异常
2. tcpdump 抓包
3. 看 /var/log/secure、messages
4. 用 ss/netstat 看连接
5. 定位 IP / 端口 / 进程
6. 封 IP 或调整服务配置

如果你能具体说一下：

• 是想 抓网络包分析
• 还是 分析某个服务的日志
• 或者是 排查入侵 / 网络异常

我可以给你更针对性的命令和示例。