在CentOS系統中，Sniffer（通常指Wireshark）是一種強大的網絡監控和分析工具，能夠捕獲和分析網絡流量，從而幫助識別多種異常行為。以下是使用Wireshark進行異常行為檢測的基本步驟：
安裝Wireshark
首先需要在CentOS系統上安裝Wireshark?？梢酝ㄟ^yum包管理器來完成安裝：
sudo yum install wireshark
捕獲數據包
安裝完成后，可以通過啟動Wireshark應用程序來開始捕獲網絡數據包：
tshark -i eth0 -w output.pcap
這里的 eth0 是網絡接口，output.pcap 是保存捕獲數據包的文件名。
分析數據包
捕獲數據包后，可以使用Wireshark強大的搜索和過濾功能來查找特定的數據包，或者使用分析工具來深入了解網絡流量。例如，要查看特定端口的流量，可以使用以下命令：
tshark -i eth0 port 80
檢測異常行為
通過觀察數據包的內容，可以識別出異常行為。例如：
- 挖礦病毒：CPU或GPU長時間占用100%，出現異常進程（如xmrig、kworker、ddgs）等。
- DDoS攻擊：服務器帶寬異常占滿，netstat顯示大量syn_recv、time_wait狀態，ps發現大量httpd/nginx進程等。
- 后門木馬：隱藏進程，ps進程列表找不到但top能看到，crontab中出現可疑定時任務，端口監聽異常（ss -antp顯示root運行的非標準端口）等。
- 蠕蟲病毒：短時間內大量文件變動，top顯示異常高I/O負載，服務器對外瘋狂掃描其他IP等。
- 勒索病毒：文件被加密（擴展名.lock、.encrypted），/tmp目錄下出現未知可執行文件，ps發現wget/curl下載可疑文件等。
- Webshell：網站目錄（/var/www/html/）出現陌生腳本文件等。
- SQL注入攻擊：數據庫mysqld進程CPU異常升高，網站日志出現大量union select或or 11語句等。
- 暴力破解：/var/log/secure出現大量failed login記錄，who發現陌生IP登錄，ss -antp發現22端口大量連接等。
- DNS劫持：resolv.conf被篡改，DNS解析異常，ping google.com解析IP變化，服務器DNS記錄被改到8.8.8.8之外的未知IP等。
- 惡意代理/隧道：ps發現socat、nc、iodine等隧道工具，服務器對外大量443/80連接，iptables規則被修改等。
- ARP欺騙：arp -a顯示異常網關MAC，內網通信異常，流量到達錯誤IP，tcpdump發現ARP報文激增等。
響應異常
一旦識別出異常行為，可以采取相應的措施，比如隔離受影響的系統、更改密碼、更新安全策略等。
注意事項
使用Sniffer進行網絡監控時，應遵守相關法律法規，確保不侵犯用戶隱私和數據安全。
以上步驟可以幫助您在CentOS系統中使用Wireshark有效地檢測異常行為。
