linux下利用tcpdump实现24小时自动抓包

tcpdump能帮助我们捕捉并保存网络包,保存下来的网络包可用于分析网络负载情况,包可通过tcpdump命令解析,也可以保存成后缀为pcap的文件,使用wireshark等软件进行查看，下面我们就来看一个tcpdump实现24小时自动抓包实现例子.

安装tcpdump,代码如下:

# yum install tcpdump

脚本里有注释#diy的,表示下一行需自定义修改,脚本都放在home目录下,crontab里写:

1. **/6***/bin/bash/home/monitor_dump.sh
2. **/6***/bin/bash/home/monitor_disk.sh

根据当磁盘空间的大小和流量的大小确定crontab里的时间间隔,因加了crontab要时间到才执行,为了现在执行,可执行:nohup sh /home/monitor_dump.sh &

vi常用命令:

# vi /etc/crontab

insert进入编辑状态,ESC进入命令状态:wq保存退出:q退出,修改后要执行 crontab /etc/crontab.

main_dump.sh (抓包的主程序),每隔1分钟通过死循环检测,让程序不断的去抓包,考虑到抓包的结果可能太大分析工具无法打开分析,所以每个数据包大小限制约为100M.并设定了前一个包抓完,间隔5秒,开始进行下一轮抓包.

每天的数据包放在/data下以日期命名的目录如:/data/2010-03-08，并进行压缩存储,包的命令格式为:yyyy-mm-dd@hhmmss-hhmmss.pcap.gz;其中yyyy-mm-dd表示日期,第一个hhmmss表示开始抓包的时分秒,第二个hhmmss表示抓包结束的时分秒,代码如下:

1. #!/bin/bash
2. #scriptname:/home/main_dump.sh
4. while:
5. do
6. STIME=`date+%F"@"%H%M%S`
7. DATE_DIR=`date+%F`
8. if[!-d/data/$DATE_DIR];then
9. mkdir-p/data/$DATE_DIR
10. fi
12. #diy#unit:byte;100MB
13. MAXSIZE=100000000
14. #diy
15. DUMPPID=`ps-ef|grep"tcpdump-ieth0"|greppcap|awk'{print$2}'`
17. if[!"$DUMPPID"];then
18. #diy
19. /usr/sbin/tcpdump-ieth0host113.105.152.180-w/data/$DATE_DIR/$STIME.pcap-s0&
20. fi
22. sleep1
24. #diy
25. DUMPPID=`ps-ef|grep"tcpdump-ieth0"|greppcap|awk'{print$2}'`
27. PACKSIZE=`ls-l/data/$DATE_DIR|grep"$STIME.pcap"|awk'{print$5}'`
28. while["$PACKSIZE"-lt"$MAXSIZE"];do
29. PACKSIZE=`ls-l/data/$DATE_DIR|grep"$STIME.pcap"|awk'{print$5}'`//phpfensi.com
30. sleep1m
31. done
32. kill-9$DUMPPID
33. ETIME=`date+%H%M%S`
34. mv/data/$DATE_DIR/$STIME.pcap/data/$DATE_DIR/$STIME-$ETIME.pcap
35. gzip/data/$DATE_DIR/*.pcap
36. sleep5
37. done

monitor_dump.sh(监控抓包脚本)

为了保证抓包主程序能健康运行,通过crontab程序来调度monitor_dump.sh,监控抓包主程序是事正常运行,如果没有运行,则启动它,代码如下:

1. #!/bin/bash
2. #scriptname:/home/monitor_dump.sh
4. DATE_DIR=`date+%F`
5. STIME=`date+%F"@"%H%M%S`
6. MAINDUMP=`ps-elf|grepmaindump|grep-vgrep`
7. #diy
8. DUMPPID=`ps-ef|grep"tcpdump-ieth0"|greppcap`
10. #checkmainprogrammestatus
11. if[!"$MAINDUMP"];then
12. /bin/bash/home/maindump.sh
13. fi
15. if[!"$DUMPPID"];then
16. #diy
17. /usr/sbin/tcpdump-ieth0host113.105.152.180-w/data/$DATE_DIR/$STIME.pcap-s0&
18. fi

monitor_disk.sh(监控硬盘空间)

监控磁盘的空闲空间,当磁盘的使用率大于等于30%时(可设置),会自动删除最早一天抓到的所在数据包,以保证磁盘的空闲空间,代码如下:

1. #!/bin/bash
2. #scriptname:/home/monitor_disk.sh
4. #diy
5. FREEDISK=`df-h|grep"/dev/sda3"|awk'{print$5}'|awk-F%'{print$1}'`
7. HEADMOST=`ls-l/data|grep^d|awk'{print$NF}'|sort|head-n1`
9. #checkfreediskstatus
10. #diy
11. if["$FREEDISK"-ge"30"];then
12. rm-rf/data/"$HEADMOST"
13. fi