| 现场抓包 | tcpdump -i eth0 -s0 -w ir.pcap（加过滤） |
|---|---|
| 读包 | tcpdump -nn -r ir.pcap |
| 统计 | tshark -q -z conv,tcp |
| 线索 | DNS 查询域名与外连 IP 收敛最快 |
抓包与初步统计
抓包与初步统计
tcpdump -i eth0 -nn -s0 -w /evidence/ir.pcap 'tcp port not 22'
tcpdump -nn -r /evidence/ir.pcap | awk '{print $3}' | sort | uniq -c | sort -rn | head -n 15
tshark -r /evidence/ir.pcap -q -z conv,tcp 2>/dev/null | head -n 30
tshark -r /evidence/ir.pcap -Y dns -T fields -e dns.qry.name 2>/dev/null | sort -u | head -n 30pcap 可能包含业务敏感数据（表单、会话）；按证据要求限定访问范围并登记保管。