服务项目:网站建设、仿站、程序开发、APP开发设计、移动网站开发设计、企业网站设计、电子商务网站开发、网站维护、网站推广、UX/UI 、HTML5、CSS3、JS / Jquery ...
四川浚浚科技有限公司
四川浚浚科技有限公司 (开发设计官网)TEL : 15308000360 / QQ : 38585404

您的位置:首页 > 技术经验 > 服务器 > 正文

linux下利用tcpdump实现24小时自动抓包

安装tcpdump

# yum install tcpdump
脚本里有注释#diy的,表示下一行需自定义修改。
脚本都放在home目录下;crontab里写:
* */6 * * * /bin/bash /home/monitor_dump.sh
* */6 * * * /bin/bash /home/monitor_disk.sh
根据当磁盘空间的大小和流量的大小确定crontab里的时间间隔
因加了crontab要时间到才执行,为了现在执行,可执行:nohup sh /home/monitor_dump.sh &
vi常用命令
# vi /etc/crontab
insert进入编辑状态
ESC进入命令状态
:wq保存退出
:q退出
修改后要执行 crontab /etc/crontab
main_dump.sh (抓包的主程序)
每隔1分钟通过死循环检测,让程序不断的去抓包;考虑到抓包的结果可能太大分析工具无法打开分析,所以每个数据包大小限制约为100M;
并设定了前一个包抓完,间隔5秒,开始进行下一轮抓包;
每天的数据包放在/data下以日期命名的目录如:/data/2010-03-08,并进行压缩存储,包的命令格式为:yyyy-mm-dd@hhmmss-hhmmss.pcap.gz;其中yyyy-mm-dd表示日期,第一个hhmmss表示开始抓包的时分秒,第二个hhmmss表示抓包结束的时分秒。
#!/bin/bash
#script name:/home/main_dump.sh
 
while :
do
    STIME=`date +%F"@"%H%M%S`
    DATE_DIR=`date +%F`
    if [ ! -d /data/$DATE_DIR ];then
        mkdir -p /data/$DATE_DIR
    fi
 
    #diy #unit:byte;100MB
    MAXSIZE=100000000
    #diy
    DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap|awk '{print $2}'`
 
    if [ ! "$DUMPPID" ];then
    #diy
        /usr/sbin/tcpdump -i eth0 host 113.105.152.180 -w /data/$DATE_DIR/$STIME.pcap -s 0 &
    fi
 
    sleep 1
 
    #diy
    DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap|awk '{print $2}'`
 
    PACKSIZE=`ls -l /data/$DATE_DIR|grep "$STIME.pcap"|awk '{print $5}'`
    while [ "$PACKSIZE" -lt "$MAXSIZE" ];do
        PACKSIZE=`ls -l /data/$DATE_DIR|grep "$STIME.pcap"|awk '{print $5}'`
        sleep 1m
    done
    kill -9 $DUMPPID
    ETIME=`date +%H%M%S`
    mv /data/$DATE_DIR/$STIME.pcap /data/$DATE_DIR/$STIME-$ETIME.pcap
    gzip /data/$DATE_DIR/*.pcap
    sleep 5
done
monitor_dump.sh (监控抓包脚本)
为了保证抓包主程序能健康运行,通过crontab程序来调度monitor_dump.sh;
监控抓包主程序是事正常运行,如果没有运行,则启动它;
#!/bin/bash
#script name:/home/monitor_dump.sh
 
DATE_DIR=`date +%F`
STIME=`date +%F"@"%H%M%S`
MAINDUMP=`ps -elf|grep maindump|grep -v grep`
#diy
DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap`
 
#check main programme status
if [ ! "$MAINDUMP" ];then
    /bin/bash /home/maindump.sh
fi
 
if [ ! "$DUMPPID" ];then
#diy
    /usr/sbin/tcpdump -i eth0 host 113.105.152.180 -w /data/$DATE_DIR/$STIME.pcap -s 0 &
fi
monitor_disk.sh(监控硬盘空间)
监控磁盘的空闲空间,当磁盘的使用率大于等于30%时(可设置),会自动删除最早一天抓到的所在数据包,以保证磁盘的空闲空间;
#!/bin/bash
#script name:/home/monitor_disk.sh
 
#diy
FREEDISK=`df -h|grep "/dev/sda3"|awk '{print $5}'|awk -F % '{print $1}'`
 
HEADMOST=`ls -l /data|grep ^d|awk '{print $NF}'|sort|head -n 1`
 
#check free disk status 
#diy
if [ "$FREEDISK" -ge "30" ];then
    rm -rf /data/"$HEADMOST"       
fi



上一篇:Linux中rz和sz命令用法详解
下一篇:linux中文文件名乱码 解决方法

相关热词搜索:linux tcpdump