如何分析ubuntu sniffer数据

在 Ubuntu 上，“sniffer 数据”通常指通过抓包工具（如 tcpdump、Wireshark、tshark、iftop 等）捕获的网络流量数据。下面按常见场景 + 分析步骤来说明。

一、常用抓包工具与数据来源

1. tcpdump（命令行）

sudo tcpdump -i eth0 -w capture.pcap

• 实时抓包
• 保存为 .pcap 文件，供后续分析

2. Wireshark（图形界面）

sudo wireshark

• 适合深入分析
• 支持协议解析、过滤、统计

3. tshark（Wireshark 命令行版）

tshark -i eth0 -w capture.pcap

4. iftop / nload（流量观察）

sudo iftop -i eth0

• 看“谁在占用带宽”

二、分析 pcap 数据的基本思路

1. 确认抓包范围

• 网卡是否正确（eth0 / ens33 / wlan0）
• 是否抓到目标流量
• 过滤条件是否合理

示例：

tcpdump -i eth0 host 192.168.1.10

2. 使用过滤减少干扰

tcpdump 过滤

tcpdump -i eth0 port 80
tcpdump -i eth0 tcp
tcpdump -i eth0 'tcp[tcpflags] & tcp-syn != 0'

Wireshark 显示过滤

ip.addr == 192.168.1.10
tcp.port == 443
http.request
dns

三、常见分析场景

场景 1：网络慢 / 卡顿

重点看：

• TCP 重传（Retransmission）
• 延迟（Round Trip Time）
• 窗口大小

Wireshark 过滤：

tcp.analysis.retransmission
tcp.analysis.rtt > 0.2

场景 2：异常连接 / 入侵排查

看：

• 非标准端口
• 大量 SYN（可能是扫描）
• 外连未知 IP

tcpdump -i eth0 'tcp[tcpflags] & tcp-syn != 0'

Wireshark：

tcp.flags.syn == 1 && tcp.flags.ack == 0

场景 3：HTTP / API 问题

• 看请求和响应码
• 看数据大小、时延

Wireshark：

http.request
http.response.code == 500

场景 4：DNS 异常

dns
dns.flags.response == 0

四、使用命令行快速统计

统计连接数

tshark -r capture.pcap -T fields -e ip.src -e ip.dst | sort | uniq -c | sort -nr

统计协议分布

capinfos capture.pcap

五、安全与合规提醒

• 抓包可能涉及他人通信内容
• 仅在自己拥有的网络 / 授权环境中使用
• 生产环境谨慎开长期 sniffer

六、如果你愿意，我可以进一步帮你

你可以告诉我：

1. 用的是 tcpdump 还是 Wireshark
2. 想分析什么（慢？异常？安全？）
3. 是否有 .pcap 示例或抓包命令

我可以直接帮你写过滤规则或分析思路。