怎样调试debian sniffer

在 Debian 上“调试 sniffer”要看你具体指的是哪一种 sniffer：

• tcpdump / Wireshark（抓包分析）
• 自己写的数据包捕获程序（如基于 libpcap）
• 某些安全工具里叫 sniffer 的模块（如 Snort、netsniff-ng）

下面按最常见情况给你一套通用调试思路。

一、先确认基本环境

1. 是否已安装抓包工具

which tcpdump
which tshark

安装：

sudo apt update
sudo apt install tcpdump wireshark

2. 是否有抓包权限

普通用户抓包常失败：

sudo tcpdump -i eth0

或把用户加入 pcap 组：

sudo usermod -aG pcap $USER

二、调试 tcpdump / Wireshark

1. 确认网卡名

ip link

2. 基础抓包测试

sudo tcpdump -i any -n

3. 常见调试参数

sudo tcpdump -i eth0 -nn -v
sudo tcpdump -i eth0 port 80
sudo tcpdump -i eth0 host 192.168.1.1

4. 保存到文件后用 Wireshark 分析

sudo tcpdump -i eth0 -w debug.pcap

Wireshark 打开：

wireshark debug.pcap

三、调试自己写的 libpcap sniffer

1. 编译时链接 libpcap

gcc sniffer.c -o sniffer -lpcap

2. 常见错误与调试

（1）打不开设备

pcap_open_live("eth0", ...)

错误：

eth0: No such device

解决：

ip link

（2）权限不足

pcap_activate() failed: Permission denied

解决：

sudo ./sniffer

（3）过滤表达式错误

pcap_compile()
pcap_setfilter()

调试方法：

fprintf(stderr, "%s\n", pcap_geterr(handle));

四、调试 Snort / 安全类 sniffer

1. 测试配置

sudo snort -T -c /etc/snort/snort.conf

2. 前台运行看日志

sudo snort -A console -q -c /etc/snort/snort.conf

五、系统级排查（非常重要）

1. 看内核是否丢包

cat /proc/net/dev

2. 检查防火墙

sudo iptables -L
sudo nft list ruleset

3. 虚拟机/容器问题

• 桥接模式是否正确
• 是否启用混杂模式

ip link set eth0 promisc on

六、如果你愿意，我可以更精准帮你

你可以补充：

1. 你用的是 哪个 sniffer
2. 报错信息（完整复制）
3. Debian 版本（cat /etc/debian_version）
4. 物理机 / 虚拟机 / 容器

我可以直接帮你定位问题。