服務(wù)項目:網(wǎng)站建設(shè)、仿站、程序開發(fā)、APP開發(fā)設(shè)計、移動網(wǎng)站開發(fā)設(shè)計、企業(yè)網(wǎng)站設(shè)計、電子商務(wù)網(wǎng)站開發(fā)、網(wǎng)站維護、網(wǎng)站推廣、UX/UI 、HTML5、CSS3、JS / Jquery ...
四川???萍加邢薰?></a></div>
                    <div   id=四川???萍加邢薰? title=
四川浚??萍加邢薰?(開發(fā)設(shè)計官網(wǎng))TEL : 15308000360 / QQ : 38585404

您的位置:首頁 > 技術(shù)經(jīng)驗 > 服務(wù)器 > 正文

linux下利用tcpdump實現(xiàn)24小時自動抓包
技術(shù)支持服務(wù)電話:15308000360 【7x24提供運維服務(wù),解決各類系統(tǒng)/軟硬件疑難技術(shù)問題】

安裝tcpdump

# yum install tcpdump
腳本里有注釋#diy的,表示下一行需自定義修改。
腳本都放在home目錄下;crontab里寫:
* */6 * * * /bin/bash /home/monitor_dump.sh
* */6 * * * /bin/bash /home/monitor_disk.sh
根據(jù)當磁盤空間的大小和流量的大小確定crontab里的時間間隔
因加了crontab要時間到才執(zhí)行,為了現(xiàn)在執(zhí)行,可執(zhí)行:nohup sh /home/monitor_dump.sh &
vi常用命令
# vi /etc/crontab
insert進入編輯狀態(tài)
ESC進入命令狀態(tài)
:wq保存退出
:q退出
修改后要執(zhí)行 crontab /etc/crontab
main_dump.sh (抓包的主程序)
每隔1分鐘通過死循環(huán)檢測,讓程序不斷的去抓包;考慮到抓包的結(jié)果可能太大分析工具無法打開分析,所以每個數(shù)據(jù)包大小限制約為100M;
并設(shè)定了前一個包抓完,間隔5秒,開始進行下一輪抓包;
每天的數(shù)據(jù)包放在/data下以日期命名的目錄如:/data/2010-03-08,并進行壓縮存儲,包的命令格式為:yyyy-mm-dd@hhmmss-hhmmss.pcap.gz;其中yyyy-mm-dd表示日期,第一個hhmmss表示開始抓包的時分秒,第二個hhmmss表示抓包結(jié)束的時分秒。
#!/bin/bash
#script name:/home/main_dump.sh
 
while :
do
    STIME=`date +%F"@"%H%M%S`
    DATE_DIR=`date +%F`
    if [ ! -d /data/$DATE_DIR ];then
        mkdir -p /data/$DATE_DIR
    fi
 
    #diy #unit:byte;100MB
    MAXSIZE=100000000
    #diy
    DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap|awk '{print $2}'`
 
    if [ ! "$DUMPPID" ];then
    #diy
        /usr/sbin/tcpdump -i eth0 host 113.105.152.180 -w /data/$DATE_DIR/$STIME.pcap -s 0 &
    fi
 
    sleep 1
 
    #diy
    DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap|awk '{print $2}'`
 
    PACKSIZE=`ls -l /data/$DATE_DIR|grep "$STIME.pcap"|awk '{print $5}'`
    while [ "$PACKSIZE" -lt "$MAXSIZE" ];do
        PACKSIZE=`ls -l /data/$DATE_DIR|grep "$STIME.pcap"|awk '{print $5}'`
        sleep 1m
    done
    kill -9 $DUMPPID
    ETIME=`date +%H%M%S`
    mv /data/$DATE_DIR/$STIME.pcap /data/$DATE_DIR/$STIME-$ETIME.pcap
    gzip /data/$DATE_DIR/*.pcap
    sleep 5
done
monitor_dump.sh (監(jiān)控抓包腳本)
為了保證抓包主程序能健康運行,通過crontab程序來調(diào)度monitor_dump.sh;
監(jiān)控抓包主程序是事正常運行,如果沒有運行,則啟動它;
#!/bin/bash
#script name:/home/monitor_dump.sh
 
DATE_DIR=`date +%F`
STIME=`date +%F"@"%H%M%S`
MAINDUMP=`ps -elf|grep maindump|grep -v grep`
#diy
DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap`
 
#check main programme status
if [ ! "$MAINDUMP" ];then
    /bin/bash /home/maindump.sh
fi
 
if [ ! "$DUMPPID" ];then
#diy
    /usr/sbin/tcpdump -i eth0 host 113.105.152.180 -w /data/$DATE_DIR/$STIME.pcap -s 0 &
fi
monitor_disk.sh(監(jiān)控硬盤空間)
監(jiān)控磁盤的空閑空間,當磁盤的使用率大于等于30%時(可設(shè)置),會自動刪除最早一天抓到的所在數(shù)據(jù)包,以保證磁盤的空閑空間;
#!/bin/bash
#script name:/home/monitor_disk.sh
 
#diy
FREEDISK=`df -h|grep "/dev/sda3"|awk '{print $5}'|awk -F % '{print $1}'`
 
HEADMOST=`ls -l /data|grep ^d|awk '{print $NF}'|sort|head -n 1`
 
#check free disk status 
#diy
if [ "$FREEDISK" -ge "30" ];then
    rm -rf /data/"$HEADMOST"       
fi



上一篇:Linux中rz和sz命令用法詳解
下一篇:linux中文文件名亂碼 解決方法

相關(guān)熱詞搜索:linux tcpdump