linux tcpdump腳本實(shí)現(xiàn)24小時(shí)自動(dòng)抓包
加入技術(shù)交流群
掃碼加入
和技術(shù)大咖面對(duì)面交流
海量資料庫(kù)查詢(xún)
#說(shuō)明---------------
本文引用地址：http://cafeforensic.com/article/201610/305904.htmmaindump.sh (抓包的主程序)
每隔1分鐘通過(guò)死循環(huán)檢測(cè)，讓程序不斷的去抓包;考慮到抓包的結(jié)果可能太大分析工具無(wú)法打開(kāi)分析，所以每個(gè)數(shù)據(jù)包大小限制約為100M;
并設(shè)定了前一個(gè)包抓完，間隔5秒，開(kāi)始進(jìn)行下一輪抓包;
每天的數(shù)據(jù)包放在/data下以日期命名的目錄如:/data/2010-03-08，并進(jìn)行壓縮存儲(chǔ)，包的命令格式為：yyyy-mm-dd@hhmmss-hhmmss.pcap.gz;其中yyyy-mm-dd表示日期，第一個(gè)hhmmss表示開(kāi)始抓包的時(shí)分秒，第二個(gè)hhmmss表示抓包結(jié)束的時(shí)分秒。
monitor_dump.sh (監(jiān)控抓包腳本)，monitor_disk.sh(監(jiān)控硬盤(pán)空間)
為了保證抓包主程序能健康運(yùn)行，通過(guò)crond程序來(lái)調(diào)度monitor.sh;
監(jiān)控抓包主程序是事正常運(yùn)行，如果沒(méi)有運(yùn)行，則啟動(dòng)它;
監(jiān)控磁盤(pán)的空閑空間，當(dāng)磁盤(pán)的使用率大于等于30%時(shí)(可設(shè)置)，會(huì)自動(dòng)刪除最早一天抓到的所在數(shù)據(jù)包，以保證磁盤(pán)的空閑空間;
腳本里有注釋#diy的，表示下一行需自定義修改。
腳本都放在home目錄下;crontab里寫(xiě)：
* */6 * * * /bin/bash /home/monitor.sh
* */6 * * * /bin/bash /home/monitor_disk.sh
根據(jù)當(dāng)磁盤(pán)空間的大小和流量的大小確定crontab里的時(shí)間間隔。因加了crontab要時(shí)間到才執(zhí)行，為了現(xiàn)在執(zhí)行，可執(zhí)行：nohup sh /home/monitor.sh
#說(shuō)明結(jié)束--------------
------------------------------------------------------------
#!/bin/bash
#script name:/home/monitor_dump.sh
DATE_DIR=`date +%F`
STIME=`date +%F@%H%M%S`
MAINDUMP=`ps -elf|grep maindump|grep -v grep`
#diy
DUMPPID=`ps -ef|grep tcpdump -i eth0|grep pcap`
#check main programme status
if [ ! $MAINDUMP ];then
/bin/bash /home/maindump.sh
fi
if [ ! $DUMPPID ];then
#diy
/usr/sbin/tcpdump -i eth0 host 113.105.152.180 -w /data/$DATE_DIR/$STIME.pcap -s 0
fi
-----------------------------------------------------------
#!/bin/bash
#script name:/home/monitor_disk.sh
#diy
FREEDISK=`df -h|grep /dev/sda3|awk '{print $5}'|awk -F % '{print $1}'`
HEADMOST=`ls -l /data|grep ^d|awk '{print $NF}'|sort|head -n 1`
#check free disk status
#diy
if [ $FREEDISK -ge 30 ];then
rm -rf /data/$HEADMOST
fi
------------------------------------------------------------
#!/bin/bash
#script name:/home/maindump.sh
while :
do
STIME=`date +%F@%H%M%S`
DATE_DIR=`date +%F`
if [ ! -d /data/$DATE_DIR ];then
mkdir -p /data/$DATE_DIR
fi
#unit:byte;100MB
#diy
MAXSIZE=100000000
#diy
DUMPPID=`ps -ef|grep tcpdump -i eth0|grep pcap|awk '{print $2}'`
if [ ! $DUMPPID ];then
#diy
/usr/sbin/tcpdump -i eth0 host 113.105.152.180 -w /data/$DATE_DIR/$STIME.pcap -s 0
fi
sleep 1
#diy
DUMPPID=`ps -ef|grep tcpdump -i eth0|grep pcap|awk '{print $2}'`
PACKSIZE=`ls -l /data/$DATE_DIR|grep $STIME.pcap|awk '{print $5}'`
while [ $PACKSIZE -lt $MAXSIZE ];do
PACKSIZE=`ls -l /data/$DATE_DIR|grep $STIME.pcap|awk '{print $5}'`
sleep 1m
done
kill -9 $DUMPPID
ETIME=`date +%H%M%S`
mv /data/$DATE_DIR/$STIME.pcap /data/$DATE_DIR/$STIME-$ETIME.pcap
gzip /data/$DATE_DIR/*.pcap
sleep 5
done
評(píng)論