怎样排查debian sniffer

在 Debian 上“排查 sniffer（抓包/嗅探程序）”通常分两步：先判断系统里是否有嗅探行为，再定位并清除相关程序/配置。下面给你一套实用的排查思路，适用于服务器或桌面 Debian。

一、先确认是否有“网卡处于混杂模式（Promiscuous）”

嗅探工具通常会把网卡设为混杂模式。

1. 查看网卡状态

ip link

或

ifconfig

看到类似：

eth0: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP>

其中的 PROMISC 就说明网卡在嗅探模式。

2. 查看内核日志

dmesg | grep -i promisc

或

journalctl -k | grep -i promisc

二、检查正在运行的抓包进程

常见 sniffer：tcpdump、tshark、wireshark、dumpcap、netsniff-ng

1. 查看相关进程

ps aux | grep -E 'tcpdump|tshark|wireshark|dumpcap|netsniff'

2. 查看打开的网络设备

lsof | grep -i packet

或

ss -pan | grep raw

三、检查已安装的嗅探工具

dpkg -l | grep -E 'tcpdump|tshark|wireshark|netsniff'

如果不确定是否该有：

which tcpdump tshark dumpcap

四、检查开机自启 / 定时任务

嗅探程序可能隐藏在 cron 或 systemd 中。

1. cron

crontab -l
ls -l /etc/cron.*

2. systemd

systemctl list-units --type=service | grep -iE 'sniff|capture|packet'

3. 可疑脚本

ls -l /usr/local/bin /opt

五、网络层面辅助判断

1. 查看监听端口

ss -tulnp

2. 查看异常外联

ss -antp

关注不明 IP 与外联进程。

六、如果怀疑被入侵

1. 用干净系统对比二进制：

debsums tcpdump

2. 检查 rootkit：

apt install chkrootkit rkhunter
chkrootkit
rkhunter --check

3. 必要时断网取证，再重装或修复。

七、安全建议

• 非必要时不要安装抓包工具
• 限制 tcpdump 等命令权限（CAP_NET_RAW）
• 使用防火墙限制访问
• 启用审计：auditd

如果你能补充：

• 是自己装的 sniffer 排查问题，还是怀疑被别人嗅探
• Debian 版本（cat /etc/debian_version）
• 是服务器还是桌面

我可以给你更针对性的命令和判断标准。