Linux Sniffer能识别哪些攻击
导读：Linux Sniffer可识别的攻击类型 一、概念与能力边界 Sniffer（嗅探器）通过把网卡置为混杂模式并解析链路层/网络层/应用层数据来“看见”流量，常见工具如tcpdump、Wireshark。它擅长发现“异常现象”和“可疑内容...
Linux Sniffer可识别的攻击类型
一、概念与能力边界
- Sniffer（嗅探器）通过把网卡置为混杂模式并解析链路层/网络层/应用层数据来“看见”流量，常见工具如tcpdump、Wireshark。它擅长发现“异常现象”和“可疑内容”，但本身不是入侵防御系统（IPS），对加密流量的识别能力受限，通常需要与IDS/取证工具配合。为在交换网络中抓到他人流量，常依赖端口镜像或（不建议的）ARP欺骗等手段。
二、基于流量特征可识别的典型攻击
| 攻击类型 | 主要识别线索（在抓包/解析中可见） | 常用工具与过滤示例 |
|---|---|---|
| DDoS/异常流量洪泛 | 某协议/端口出现突发大流量、SYN Flood（大量半开连接）、ICMP/UDP异常洪泛、带宽占用飙升 | 用iftop/NetHogs看占用；tcpdump 示例：tcpdump -i eth0 'tcp[tcpflags] &
tcp-syn != 0' -nn |
| 端口扫描/主机探测 | 短时间内对大量端口/多主机发起连接尝试（如 SYN 扫描、NULL/Fin/Xmas 扫描特征） | tcpdump 示例：`tcpdump -i eth0 'tcp[tcpflags] & (tcp-syn |
| ARP欺骗/中间人 | 同一 IP 对应多个MAC、频繁异常的 ARP 响应、网关MAC异常变更 | 抓 ARP 包观察；结合ARPWatch做长期基线比对 |
| Web 攻击特征（明文） | HTTP 请求中出现可疑 SQL 注入片段（如 ' OR 1=1、UNION SELECT）、XSS 脚本标签（如 <
script>
） |
tcpdump 示例：tcpdump -i eth0 -A -s 0 'tcp port 80 and (http.request or http.response)' |
| 可疑外联/木马通信 | 内网主机与陌生IP/域名建立连接、非常见协议/端口的长连接、周期性心跳 | 先抓包定位可疑对端；配合iftop/NetHogs确认占用进程 |
| 明文协议凭证泄露 | FTP 明文账号口令、POP3/IMAP 明文登录、HTTP Basic Auth 头 | tcpdump 示例：`tcpdump -i eth0 -A -s 0 ‘tcp port 21 or 110 or 143 or 80’ |
| 异常协议行为 | DNS 放大/隧道（异常大量或超长域名查询）、SMB 探测/暴力（异常 SMB 协商/失败响应） | 抓 53/445 端口流量做统计与内容检查 |
| 上述条目中，Web 攻击特征与 DDoS/扫描等异常流量可在抓包层面直接观察到线索；Snort 等基于规则的 IDS 还能对这些行为做自动化签名匹配与告警。 |
三、识别与排查的实操要点
- 抓包与落盘：
sudo tcpdump -i eth0 -w capture.pcap；必要时只抓关键协议/主机以减少噪声。 - 协议过滤：按端口/方向快速聚焦，如
tcp port 80、icmp、arp。 - 内容检查：用
-A/-X查看应用层内容，搜索关键字（如script、union select、login）。 - 可视化分析：用 Wireshark 打开 .pcap 做会话重组、统计与协议解码，定位异常主机/会话。
- 流量对比：配合 iftop/NetHogs 观察带宽与进程占用，交叉验证抓包发现。
- 基线化与告警：对 ARP/DNS 等做长期基线（如 ARPWatch），出现异常即告警排查。
以上流程能在多数明文协议场景下较快定位可疑行为。
四、局限与合规提示
- 加密流量不可读：TLS/HTTPS/SSH 内容无法在抓包中直接看到载荷，需依赖TLS 解密（私钥/会话密钥）或主机侧日志/EDR配合分析。
- 交换网络抓不全：默认交换机只转发到目标端口，需配置端口镜像或使用（不推荐的）ARP 欺骗才能覆盖更多流量。
- 合法合规：抓包涉及隐私与合规，务必在授权范围内使用，避免采集敏感信息。
- 性能影响：长时间全量抓包会占用CPU/磁盘/带宽，应合理设置过滤与采样策略。
声明：本文内容由网友自发贡献，本站不承担相应法律责任。对本内容有异议或投诉，请联系2913721942#qq.com核实处理，我们将尽快回复您，谢谢合作！
若转载请注明出处： Linux Sniffer能识别哪些攻击
本文地址： https://pptw.com/jishu/771278.html