linux下巧用tcpdump实现24小时自动抓包

发布时间：2022-06-15 15:15 所属栏目：61 来源：互联网

导读：tcpdump能帮助我们捕捉并保存网络包,保存下来的网络包可用于分析网络负载情况,包可通过tcpdump命令解析,也可以保存成后缀为pcap的文件,使用wireshark等软件进行查看，下面我们就来看一个tcpdump实现24小时自动抓包实现例子. 安装tcpdump,代码如下: # yum ins

　　tcpdump能帮助我们捕捉并保存网络包,保存下来的网络包可用于分析网络负载情况,包可通过tcpdump命令解析,也可以保存成后缀为pcap的文件,使用wireshark等软件进行查看，下面我们就来看一个tcpdump实现24小时自动抓包实现例子.

　　安装tcpdump,代码如下:

　　# yum install tcpdump

　　脚本里有注释#diy的,表示下一行需自定义修改,脚本都放在home目录下,crontab里写:

　　* */6 * * * /bin/bash /home/monitor_dump.sh
　　* */6 * * * /bin/bash /home/monitor_disk.sh
　　根据当磁盘空间的大小和流量的大小确定crontab里的时间间隔,因加了crontab要时间到才执行,为了现在执行,可执行:nohup sh /home/monitor_dump.sh &

　　vi常用命令:

　　# vi /etc/crontab

　　insert进入编辑状态,ESC进入命令状态:wq保存退出:q退出,修改后要执行 crontab /etc/crontab.

　　main_dump.sh (抓包的主程序),每隔1分钟通过死循环检测,让程序不断的去抓包,考虑到抓包的结果可能太大分析工具无法打开分析,所以每个数据包大小限制约为100M.并设定了前一个包抓完,间隔5秒,开始进行下一轮抓包.

　　每天的数据包放在/data下以日期命名的目录如:/data/2010-03-08，并进行压缩存储,包的命令格式为:yyyy-mm-dd@hhmmss-hhmmss.pcap.gz;其中yyyy-mm-dd表示日期,第一个hhmmss表示开始抓包的时分秒,第二个hhmmss表示抓包结束的时分秒,代码如下:

　　#!/bin/bash
　　#script name:/home/main_dump.sh
　　
　　while :
　　do
　　    STIME=`date +%F"@"%H%M%S`
　　    DATE_DIR=`date +%F`
　　    if [ ! -d /data/$DATE_DIR ];then
　　        mkdir -p /data/$DATE_DIR
　　    fi
　　
　　    #diy #unit:byte;100MB
　　    MAXSIZE=100000000
　　    #diy
　　    DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap|awk '{print $2}'`
　　
　　    if [ ! "$DUMPPID" ];then
　　    #diy
　　        /usr/sbin/tcpdump -i eth0 host 113.105.152.180 -w /data/$DATE_DIR/$STIME.pcap -s 0 &
　　    fi
　　
　　    sleep 1
　　
　　    #diy
　　    DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap|awk '{print $2}'`
　　
　　    PACKSIZE=`ls -l /data/$DATE_DIR|grep "$STIME.pcap"|awk '{print $5}'`
　　    while [ "$PACKSIZE" -lt "$MAXSIZE" ];do
　　        PACKSIZE=`ls -l /data/$DATE_DIR|grep "$STIME.pcap"|awk '{print $5}'` //phpfensi.com
　　        sleep 1m
　　    done
　　    kill -9 $DUMPPID
　　    ETIME=`date +%H%M%S`
　　    mv /data/$DATE_DIR/$STIME.pcap /data/$DATE_DIR/$STIME-$ETIME.pcap
　　    gzip /data/$DATE_DIR/*.pcap
　　    sleep 5
　　done
　　monitor_dump.sh(监控抓包脚本)

　　为了保证抓包主程序能健康运行,通过crontab程序来调度monitor_dump.sh,监控抓包主程序是事正常运行,如果没有运行,则启动它,代码如下:

　　#!/bin/bash
　　#script name:/home/monitor_dump.sh
　　
　　DATE_DIR=`date +%F`
　　STIME=`date +%F"@"%H%M%S`
　　MAINDUMP=`ps -elf|grep maindump|grep -v grep`
　　#diy
　　DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap`
　　
　　#check main programme status
　　if [ ! "$MAINDUMP" ];then
　　    /bin/bash /home/maindump.sh
　　fi
　　
　　if [ ! "$DUMPPID" ];then
　　#diy
　　    /usr/sbin/tcpdump -i eth0 host 113.105.152.180 -w /data/$DATE_DIR/$STIME.pcap -s 0 &
　　fi
　　monitor_disk.sh(监控硬盘空间)

　　监控磁盘的空闲空间,当磁盘的使用率大于等于30%时(可设置),会自动删除最早一天抓到的所在数据包,以保证磁盘的空闲空间,代码如下:

　　#!/bin/bash
　　#script name:/home/monitor_disk.sh
　　
　　#diy
　　FREEDISK=`df -h|grep "/dev/sda3"|awk '{print $5}'|awk -F % '{print $1}'`
　　
　　HEADMOST=`ls -l /data|grep ^d|awk '{print $NF}'|sort|head -n 1`
　　
　　#check free disk status
　　#diy
　　if [ "$FREEDISK" -ge "30" ];then
　　    rm -rf /data/"$HEADMOST"
　　fi。

（编辑：ASP站长网）