CentOS Sniffer可捕获的数据范围
在centos上，网络嗅探器（如tcpdump、wireshark/dumpcap）可捕获链路层到应用层的多种数据，包括以太网帧头部、ip/传输层头部、常见应用协议内容以及数据库交互细节。典型能力如下：
- 链路层与网络层信息：以太网帧头部信息、源/目的 mac 地址、vlan 标签、ip 地址、协议类型（tcp/udp/icmp/arp 等）、数据包长度、ttl、校验和等。
- 传输层细节：源/目的端口、tcp 标志位（syn/ack/fin/rst）、序列号/确认号、窗口大小、udp 长度等。
- 常见应用层协议内容：http 请求/响应行与头部（如 host、user-agent、cookie）、dns 查询/响应（域名、记录类型、ttl）、ftp 控制与数据连接、smtp/pop3/imap 邮件会话、icmp（ping/traceroute）等。
- 数据库流量：借助专用嗅探器（如 mysql sniffer），可获取访问时间、来源 ip、用户名、数据库名、执行的 sql、命令耗时、返回行数等。
- 捕获范围控制：可工作在混杂模式以监听经过接口的所有流量，并通过bpf 过滤器（如 port、host、tcp/udp）精准筛选目标数据。
关于 https 与加密流量
- 对于未加密的 http/ftp/telnet 等，嗅探器可直接看到明文内容（如请求行、头部与载荷）。
- 对于https/ssl/tls、ssh、ipsec等加密流量，嗅探器通常只能看到加密后的负载，无法直接还原应用层明文；但在握手阶段仍可观察到**tls 握手消息类型、证书交换、sni（服务器名称指示）**等元数据。
典型工具与可获取的数据
| 工具 |
主要可捕获/分析的数据 |
典型用途 |
| tcpdump |
以太网/ip/tcp/udp/icmp/arp 头部信息，http/dns/ftp/smtp/pop3/imap 明文内容，tcp 标志位与序列号等 |
命令行快速抓包与过滤、连通性与性能问题定位 |
| wireshark / dumpcap |
更丰富的解码与图形化分析，覆盖tcp/udp/dns/http/ftp/icmp/arp等常见协议 |
深度协议分析与故障排查 |
| mysql sniffer |
访问时间、来源 ip、用户、数据库、sql 语句、耗时、返回行数 |
数据库访问审计与慢查询定位 |
捕获前提与合规提示
- 权限与接口：抓包通常需要root或具备cap_net_raw能力的账户；将接口置于混杂模式可捕获经过该接口的所有帧。
- 过滤与性能：使用bpf 过滤器（如“tcp port 80”“host 192.0.2.10”）减少无关数据，必要时调整缓冲区大小与捕获文件滚动策略以避免丢包。
- 合规与隐私：仅在获得授权的网络与主机上抓包，避免收集或泄露敏感信息；不当使用可能违反法律法规与隐私政策。