東坡下載:內(nèi)容最豐富最安全的下載站!

首頁IT技術(shù) → linux系統(tǒng)tcpdump實(shí)現(xiàn)24小時(shí)自動(dòng)抓包教程

linux系統(tǒng)tcpdump實(shí)現(xiàn)24小時(shí)自動(dòng)抓包教程

相關(guān)文章發(fā)表評論 來源:本站整理時(shí)間:2014/10/23 14:28:20字體大小:A-A+

更多

作者:佚名點(diǎn)擊:674次評論:0次標(biāo)簽: tcpdump實(shí)現(xiàn)24小時(shí)自動(dòng)抓包

TcpDump能幫助我們對網(wǎng)絡(luò)上的數(shù)據(jù)包進(jìn)行截獲的包進(jìn)行分析,包可通過tcpdump命令解析,也可以保存成后綴為pcap的文件,,tcpdump以其強(qiáng)大的功能,靈活的截取策略,成為每個(gè)高級的系統(tǒng)管理員分析網(wǎng)絡(luò),排查問題等所必備的工具之一。下面就來看看linux系統(tǒng)tcpdump實(shí)現(xiàn)24小時(shí)自動(dòng)抓包教程。

安裝tcpdump

代碼如下

# yum install tcpdump

腳本里有注釋#diy的,表示下一行需自定義修改。

腳本都放在home目錄下;crontab里寫:

* */6 * * * /bin/bash /home/monitor_dump.sh

* */6 * * * /bin/bash /home/monitor_disk.sh

根據(jù)當(dāng)磁盤空間的大小和流量的大小確定crontab里的時(shí)間間隔

因加了crontab要時(shí)間到才執(zhí)行,為了現(xiàn)在執(zhí)行,可執(zhí)行:nohup sh /home/monitor_dump.sh &

vi常用命令

# vi /etc/crontab

insert進(jìn)入編輯狀態(tài)

ESC進(jìn)入命令狀態(tài)

:wq保存退出

:q退出

修改后要執(zhí)行 crontab /etc/crontab

main_dump.sh (抓包的主程序)

每隔1分鐘通過死循環(huán)檢測,讓程序不斷的去抓包;考慮到抓包的結(jié)果可能太大分析工具無法打開分析,所以每個(gè)數(shù)據(jù)包大小限制約為100M;

并設(shè)定了前一個(gè)包抓完,間隔5秒,開始進(jìn)行下一輪抓包;

每天的數(shù)據(jù)包放在/data下以日期命名的目錄如:/data/2010-03-08,并進(jìn)行壓縮存儲,包的命令格式為:yyyy-mm-dd@hhmmss-hhmmss.pcap.gz;其中yyyy-mm-dd表示日期,第一個(gè)hhmmss表示開始抓包的時(shí)分秒,第二個(gè)hhmmss表示抓包結(jié)束的時(shí)分秒。

代碼如下

#!/bin/bash

#script name:/home/main_dump.sh

while :

do

STIME=`date +%F"@"%H%M%S`

DATE_DIR=`date +%F`

if [ ! -d /data/$DATE_DIR ];then

mkdir -p /data/$DATE_DIR

fi

#diy #unit:byte;100MB

MAXSIZE=100000000

#diy

DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap|awk '{print $2}'`

if [ ! "$DUMPPID" ];then

#diy

/usr/sbin/tcpdump -i eth0 host 113.105.152.180 -w /data/$DATE_DIR/$STIME.pcap -s 0 &

fi

sleep 1

#diy

DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap|awk '{print $2}'`

PACKSIZE=`ls -l /data/$DATE_DIR|grep "$STIME.pcap"|awk '{print $5}'`

while [ "$PACKSIZE" -lt "$MAXSIZE" ];do

PACKSIZE=`ls -l /data/$DATE_DIR|grep "$STIME.pcap"|awk '{print $5}'`

sleep 1m

done

kill -9 $DUMPPID

ETIME=`date +%H%M%S`

mv /data/$DATE_DIR/$STIME.pcap /data/$DATE_DIR/$STIME-$ETIME.pcap

gzip /data/$DATE_DIR/*.pcap

sleep 5

done

monitor_dump.sh (監(jiān)控抓包腳本)

為了保證抓包主程序能健康運(yùn)行,通過crontab程序來調(diào)度monitor_dump.sh;

監(jiān)控抓包主程序是事正常運(yùn)行,如果沒有運(yùn)行,則啟動(dòng)它;

代碼如下

#!/bin/bash

#script name:/home/monitor_dump.sh

DATE_DIR=`date +%F`

STIME=`date +%F"@"%H%M%S`

MAINDUMP=`ps -elf|grep maindump|grep -v grep`

#diy

DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap`

#check main programme status

if [ ! "$MAINDUMP" ];then

/bin/bash /home/maindump.sh

fi

if [ ! "$DUMPPID" ];then

#diy

/usr/sbin/tcpdump -i eth0 host 113.105.152.180 -w /data/$DATE_DIR/$STIME.pcap -s 0 &

fi

monitor_disk.sh(監(jiān)控硬盤空間)

監(jiān)控磁盤的空閑空間,當(dāng)磁盤的使用率大于等于30%時(shí)(可設(shè)置),會自動(dòng)刪除最早一天抓到的所在數(shù)據(jù)包,以保證磁盤的空閑空間;

代碼如下

#!/bin/bash

#script name:/home/monitor_disk.sh

#diy

FREEDISK=`df -h|grep "/dev/sda3"|awk '{print $5}'|awk -F % '{print $1}'`

HEADMOST=`ls -l /data|grep ^d|awk '{print $NF}'|sort|head -n 1`

#check free disk status 

#diy

if [ "$FREEDISK" -ge "30" ];then

rm -rf /data/"$HEADMOST"       

fi

擴(kuò)展知識

相關(guān)評論

閱讀本文后您有什么感想? 已有 人給出評價(jià)!

  • 2791 喜歡喜歡
  • 2101 頂
  • 800 難過難過
  • 1219 囧
  • 4049 圍觀圍觀
  • 5602 無聊無聊
熱門評論
最新評論
發(fā)表評論 查看所有評論(0)
昵稱:
表情: 高興 可 汗 我不要 害羞 好 下下下 送花 屎 親親
字?jǐn)?shù): 0/500 (您的評論需要經(jīng)過審核才能顯示)