如何解读Linux Sniffer的抓包结果
小樊
45
2025-12-01 12:08:19
Linux Sniffer抓包结果解读指南
一 快速定位与过滤
- 抓包与保存：使用tcpdump在接口eth0上抓取并写入文件，便于后续分析。示例：
sudo tcpdump -i eth0 -w capture.pcap。需要查看内容时，可读取文件：tcpdump -r capture.pcap。为提升可读性，常用**-nn**（不解析主机名/端口名）、-v/-vv（增加细节）、-e（显示链路层头部）。
- 精准过滤：按主机、端口、协议与方向组合过滤，例如：
sudo tcpdump -i eth0 host 192.0.2.10 and port 80、sudo tcpdump -i eth0 src 10.0.0.5 and tcp port 443、sudo tcpdump -i eth0 arp。这些表达式基于host、net、port、src、dst、tcp、udp、arp等关键字，并支持and/or/not逻辑组合。
- 图形化分析：将capture.pcap导入Wireshark进行协议分层、流追踪与字段级查看，适合复杂问题定位。
二 读懂tcpdump输出字段
- 典型行解析（示例）：
21:50:12.847509 eth0 < 8:0:20:79:5b:46 0:90:27:58:af:1a ip 60: h219.33357 > ice.telnet: S 12345:12345(0) ack 0 win 8760 (DF)
- 时间戳：21:50:12.847509；接口：eth0；方向：<（接收）；链路层：源MAC 8:0:20:79:5b:46 → 目的MAC 0:90:27:58:af:1a。
- 网络层：ip；长度：60 字节。
- 传输层：源端口 33357 → 目的端口 23（telnet）；标志：S（SYN）、ack 0（初始ACK号）、窗口：8760；分片：DF（不分片）。
- TCP标志含义：S（SYN 建立连接）、F（FIN 关闭连接）、R（RST 重置）、P（PUSH 推送数据）、.（无标志）。
- ARP示例：
arp who-has 192.168.1.1 tell 192.168.1.10（请求）与 arp reply 192.168.1.1 is-at 00:11:22:33:44:55（响应），用于解析IP→MAC映射。
三 常见异常模式与判定要点
- 半开连接洪泛（SYN Flood）：大量到某端口的SYN且极少或无对应的SYN-ACK，常见于DDoS/扫描。判定要点：高比例的仅含SYN的包、无后续ACK。
- ARP欺骗：同一IP在短时间内对应多个MAC，或网关IP被错误MAC“抢答”。判定要点：连续出现多条
arp reply <网关IP> is-at <异常MAC>。
- 扫描与探测：对多个端口或网段的SYN/UDP密集探测、异常的ICMP/分片报文。判定要点：短时间内跨端口/跨网段的高频握手或错误响应。
- 应用层攻击特征：HTTP 请求中出现可疑SQL片段（如
' OR 1=1）、可疑XSS脚本标签等。判定要点：在HTTP载荷中检索关键字或异常编码。
- 带宽异常与突发：某主机/某协议的pps/带宽显著高于基线。判定要点：结合历史基线或阈值告警，观察持续时间与影响范围。
四 高效排查流程与命令清单
- 明确目标与范围：锁定时间窗、源/目的IP或网段、端口/协议，避免全量分析。
- 分层定位：先看链路层（MAC/IP是否正确）、再看传输层（TCP状态机是否正常）、最后看应用层（载荷是否异常）。
- 关键命令模板：
- 抓取某主机的全部流量：
sudo tcpdump -i eth0 -nn -e host 192.0.2.10 -w host.pcap
- 只看HTTP/HTTPS：
sudo tcpdump -i eth0 -nn port 80 or port 443 -w web.pcap
- 聚焦TCP握手问题：
sudo tcpdump -i eth0 -nn 'tcp[tcpflags] & (tcp-syn|tcp-ack) == tcp-syn' -w syn.pcap
- 排查ARP异常：
sudo tcpdump -i eth0 -nn arp -w arp.pcap
- 读取与分析：
tcpdump -r web.pcap -nn -vv | less；复杂问题用Wireshark打开pcap做流追踪与重排序。
- 辅助工具：结合iftop/NetHogs观察实时带宽与进程占用，交叉验证抓包结论。
五 合规与性能注意
- 合法授权：抓包涉及通信内容，务必在明确授权范围内进行，避免侵犯隐私或触犯法律。
- 性能影响：抓包与长时间保存会占用CPU/磁盘/内存与网络带宽，建议限定接口、时间、包数与BPF过滤表达式，必要时分时段抓取。
- 最小化原则：生产环境优先使用过滤表达式与采样，仅抓取必要流量，减少对业务与系统的干扰。