| 抓包 | tcpdump -i any 指定 host/port 并 -w 保存 |
|---|---|
| 验证 | -r 回读加 -A 看明文 |
| 限额 | -c 限制包数，避免磁盘爆 |
| 证据 | pcap 文件哈希后归档 |
抓取并回读验证
抓取并回读验证
tcpdump -i any -nn host 203.0.113.10 -c 50 -w /evidence/evil.pcap
tcpdump -nn -A -r /evidence/evil.pcap 'tcp port 80' | head -n 60
sha256sum /evidence/evil.pcap生产环境抓包务必加 -c 或 -w 限额：全量抓包会写满磁盘。