linux下利用tcpdump实现24小时自动抓包



安装tcpdump
 代码如下
#yuminstalltcpdump
脚本里有注释#diy的，表示下一行需自定义修改。
脚本都放在home目录下;crontab里写：
**/6***/bin/bash/home/monitor_dump.sh
**/6***/bin/bash/home/monitor_disk.sh
根据当磁盘空间的大小和流量的大小确定crontab里的时间间隔
因加了crontab要时间到才执行，为了现在执行，可执行：nohupsh/home/monitor_dump.sh&
vi常用命令
#vi/etc/crontab
insert进入编辑状态
ESC进入命令状态
:wq保存退出
:q退出
修改后要执行crontab/etc/crontab
main_dump.sh(抓包的主程序)
每隔1分钟通过死循环检测，让程序不断的去抓包;考虑到抓包的结果可能太大分析工具无法打开分析，所以每个数据包大小约为100M;
并设定了前一个包抓完，间隔5秒，开始进行下一轮抓包;
每天的数据包放在/data下以日期命名的目录如:/data/2010-03-08，并进行压缩存储，包的命令格式为：yyyy-mm-dd@hhmmss-hhmmss.pcap.gz;其中yyyy-mm-dd表示日期，第一个hhmmss表示开始抓包的时分秒，第二个hhmmss表示抓包结束的时分秒。
 代码如下
#!/bin/bash
#scriptname:/home/main_dump.sh
 
while:
do
  STIME=`date+%F"@"%H%M%s`
  DATE_DIR=`date+%F`
  if[!-d/data/$DATE_DIR];then
    mkdir-p/data/$DATE_DIR
  fi
 
  #diy#unit:byte;100MB
  MAXSIZE=100000000
  #diy
  DUMPPID=`ps-ef|grep"tcpdump-ieth0"|greppcap|awk'{print$2}'`
 
  if[!"$DUMPPID"];then
  #diy
    /usr/sbin/tcpdump-ieth0host113.105.152.180-w/data/$DATE_DIR/$STIME.pcap-s0&
  fi
 
  sleep1
 
  #diy
  DUMPPID=`ps-ef|grep"tcpdump-ieth0"|greppcap|awk'{print$2}'`
 
  PACKSIZE=`ls-l/data/$DATE_DIR|grep"$STIME.pcap"|awk'{print$5}'`
  while["$PACKSIZE"-lt"$MAXSIZE"];do
    PACKSIZE=`ls-l/data/$DATE_DIR|grep"$STIME.pcap"|awk'{print$5}'`
    sleep1m
  done
  kill-9$DUMPPID
  ETIME=`date+%H%M%s`
  mv/data/$DATE_DIR/$STIME.pcap/data/$DATE_DIR/$STIME-$ETIME.pcap
  gzip/data/$DATE_DIR/*.pcap
  sleep5
done
monitor_dump.sh(监控抓包脚本)
为了保证抓包主程序能健康运行，通过crontab程序来调度monitor_dump.sh;
监控抓包主程序是事正常运行，如果没有运行，则启动它;
 代码如下
#!/bin/bash
#scriptname:/home/monitor_dump.sh
 
DATE_DIR=`date+%F`
STIME=`date+%F"@"%H%M%s`
MAINDUMP=`ps-elf|grepmaindump|grep-vgrep`
#diy
DUMPPID=`ps-ef|grep"tcpdump-ieth0"|greppcap`
 
#checkmainprogrammestatus
if[!"$MAINDUMP"];then
  /bin/bash/home/maindump.sh
fi
 
if[!"$DUMPPID"];then
#diy
  /usr/sbin/tcpdump-ieth0host113.105.152.180-w/data/$DATE_DIR/$STIME.pcap-s0&
fi
monitor_disk.sh(监控硬盘空间)
监控磁盘的空闲空间，当磁盘的使用率大于等于30%时(可设置)，会自动删除最早一天抓到的所在数据包，以保证磁盘的空闲空间;
 代码如下
#!/bin/bash
#scriptname:/home/monitor_disk.sh
 
#diy
FREEdisK=`df-h|grep"/dev/sda3"|awk'{print$5}'|awk-F%'{print$1}'`
 
HEADMOST=`ls-l/data|grep^d|awk'{print$NF}'|sort|head-n1`
 
#checkfreediskstatus 
#diy
if["$FREEdisK"-ge"30"];then
  rm-rf/data/"$HEADMOST"    
fi
本文来自系统大全为您提供如需转载请注明！推荐win10下载