CentOS Sniffer安装方法详解

CentOS 常见 Sniffer 安装与快速上手

一 工具选型与准备

• 常见工具与用途
  • tcpdump：命令行抓包，适合服务器与自动化场景，轻量高效。
  • Wireshark / tshark：图形化与命令行协议分析，适合深度解析与离线分析。
  • Go-Sniffer：按协议快速抓包（如 Redis 6379、MySQL 3306），上手简单。
  • MySQL Sniffer：专注 MySQL 流量的轻量嗅探器。
• 权限与网络
  • 抓包需要 root 或具备 CAP_NET_RAW 能力的账户。
  • 服务器环境建议通过 SSH 操作，避免图形界面依赖。
  • 注意：抓包可能涉及隐私与合规风险，务必在取得授权的前提下进行。

二 安装与快速上手

• 1. tcpdump（系统自带源，最通用）
  • 安装
    • CentOS 7：sudo yum install -y tcpdump
    • CentOS 8/Stream：sudo dnf install -y tcpdump
  • 快速上手
    • 实时查看：sudo tcpdump -i eth0 -nn
    • 抓取 HTTP(80) 流量：sudo tcpdump -i eth0 port 80
    • 保存到文件：sudo tcpdump -i eth0 -w capture.pcap
    • 读取文件：tcpdump -r capture.pcap -nn
• 1. Wireshark / tshark（图形化与命令行分析）
  • 安装
    • 启用 EPEL：sudo yum install -y epel-release
    • 安装：sudo yum install -y wireshark wireshark-cli
  • 快速上手
    • 图形界面：在桌面环境启动 Wireshark 并开始捕获（需 root 权限）
    • 命令行：tshark -i eth0 -Y “http” -T fields -e frame.len -e ip.src -e ip.dst
• 1. Go-Sniffer（按协议一键抓包）
  • 安装依赖：sudo yum install -y libpcap libpcap-devel
  • 安装 Go（示例版本，可按需调整）：
    • wget https://golang.org/dl/go1.10.3.linux-amd64.tar.gz
    • sudo tar -C /usr/local -xzf go1.10.3.linux-amd64.tar.gz
    • echo ‘export PATH=$PATH:/usr/local/go/bin’ > > ~/.bashrc & & source ~/.bashrc
  • 安装 Go-Sniffer：go get -v -u github.com/40t/go-sniffer
  • 全局可用：sudo cp -rf $(go env GOPATH)/bin/go-sniffer /usr/local/bin
  • 快速上手
    • Redis：go-sniffer eth0 redis -p 6379 out.log
    • MySQL：go-sniffer eth0 mysql -p 3306
• 1. MySQL Sniffer（专注 MySQL 流量）
  • 安装依赖：sudo yum install -y cmake libpcap-devel glib2-devel libnet-devel gcc gcc-c++
  • 编译运行
    • git clone https://github.com/jeremycole/mysql-sniffer.git
    • cd mysql-sniffer & & mkdir proj & & cd proj
    • cmake … & & make
    • ./bin/mysql-sniffer（可按需添加 -c 配置文件）

三 抓包与过滤常用命令

• 指定网卡与显示格式
  • 指定网卡：sudo tcpdump -i eth0
  • 显示更清晰：sudo tcpdump -i eth0 -nn -v
• 常用过滤器
  • 按端口：port 80 或 port 3306
  • 按主机：src host 192.168.1.10 或 dst host 10.0.0.1
  • 按协议：tcp、udp、icmp
• 保存与读取
  • 保存：sudo tcpdump -i eth0 -w file.pcap
  • 读取：tcpdump -r file.pcap -nn
• 高级显示
  • 显示 HTTP 内容：sudo tcpdump -i eth0 -A port 80
  • 仅显示头部：sudo tcpdump -i eth0 -q
• 远程分析
  • 将 .pcap 文件下载到本地，用 Wireshark 打开进行深度分析。

四 性能与合规建议

• 性能优化
  • 使用捕获过滤表达式（BPF）减少无关流量，例如：tcpdump -i eth0 ‘tcp port 3306’ -w mysql.pcap
  • 需要长时间抓包时，优先写入文件，事后分析，避免终端输出开销
  • 合理选择工具：tcpdump/tshark 适合自动化与远程，Wireshark 适合图形化深度分析
  • 监控资源使用（CPU/内存/磁盘），必要时分片抓包（按时间或大小滚动）
• 合规与安全
  • 仅在授权范围内抓包，避免收集敏感信息
  • 对抓包文件设置访问控制，防止泄露
  • 在云环境或受管网络中，遵守平台与组织的安全策略。

声明：本文内容由网友自发贡献，本站不承担相应法律责任。对本内容有异议或投诉，请联系2913721942#qq.com核实处理，我们将尽快回复您，谢谢合作！