linux抓包

maindump.sh (抓包的主程序)

每隔1分钟通过死循环检测,让程序不断的去抓包;考虑到抓包的结果可能太大分析工具无法打开分析,所以每个数据包大小限制约为100M;

并设定了前一个包抓完,间隔5秒,开始进行下一轮抓包;

每天的数据包放在/data下以日期命名的目录如:/data/2010-03-08,并进行压缩存储,包的命令格式为:[email protected];其中yyyy-mm-dd表示日期,第一个hhmmss表示开始抓包的时分秒,第二个hhmmss表示抓包结束的时分秒。

monitor_dump.sh (监控抓包脚本),monitor_disk.sh(监控硬盘空间)

为了保证抓包主程序能健康运行,通过crond程序来调度monitor.sh;

监控抓包主程序是事正常运行,如果没有运行,则启动它;

监控磁盘的空闲空间,当磁盘的使用率大于等于30%时(可设置),会自动删除最早一天抓到的所在数据包,以保证磁盘的空闲空间;

脚本里有注释#diy的,表示下一行需自定义修改。

脚本都放在home目录下;crontab里写:

* */6 * * * /bin/bash /home/monitor.sh

* */6 * * * /bin/bash /home/monitor_disk.sh

根据当磁盘空间的大小和流量的大小确定crontab里的时间间隔。因加了crontab要时间到才执行,为了现在执行,可执行:nohup sh /home/monitor.sh &

#说明结束--------------

------------------------------------------------------------

#!/bin/bash

#script name:/home/monitor_dump.sh

DATE_DIR=`date +%F`

STIME=`date +%F"@"%H%M%S`

MAINDUMP=`ps -elf|grep maindump|grep -v grep`

#diy

DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap`

#check main programme status

if [ ! "$MAINDUMP" ];then

/bin/bash /home/maindump.sh

fi

if [ ! "$DUMPPID" ];then

#diy

/usr/sbin/tcpdump -i eth0 host 113.105.152.180 -w /data/$DATE_DIR/$STIME.pcap -s 0 &

fi

-----------------------------------------------------------

#!/bin/bash

#script name:/home/monitor_disk.sh

#diy

FREEDISK=`df -h|grep "/dev/sda3"|awk ‘{print $5}‘|awk -F % ‘{print $1}‘`

HEADMOST=`ls -l /data|grep ^d|awk ‘{print $NF}‘|sort|head -n 1`

#check free disk status

#diy

if [ "$FREEDISK" -ge "30" ];then

rm -rf /data/"$HEADMOST"

fi

------------------------------------------------------------

#!/bin/bash

#script name:/home/maindump.sh

while :

do

STIME=`date +%F"@"%H%M%S`

DATE_DIR=`date +%F`

if [ ! -d /data/$DATE_DIR ];then

mkdir -p /data/$DATE_DIR

fi

#unit:byte;100MB

#diy

MAXSIZE=100000000

#diy

DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap|awk ‘{print $2}‘`

if [ ! "$DUMPPID" ];then

#diy

/usr/sbin/tcpdump -i eth0 host 113.105.152.180 -w /data/$DATE_DIR/$STIME.pcap -s 0 &

fi

sleep 1

#diy

DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap|awk ‘{print $2}‘`

PACKSIZE=`ls -l /data/$DATE_DIR|grep "$STIME.pcap"|awk ‘{print $5}‘`

while [ "$PACKSIZE" -lt "$MAXSIZE" ];do

PACKSIZE=`ls -l /data/$DATE_DIR|grep "$STIME.pcap"|awk ‘{print $5}‘`

sleep 1m

done

kill -9 $DUMPPID

ETIME=`date +%H%M%S`

mv /data/$DATE_DIR/$STIME.pcap /data/$DATE_DIR/$STIME-$ETIME.pcap

gzip /data/$DATE_DIR/*.pcap

sleep 5

done

linux抓包,古老的榕树,5-wow.com

郑重声明:本站内容如果来自互联网及其他传播媒体,其版权均属原媒体及文章作者所有。转载目的在于传递更多信息及用于网络分享,并不代表本站赞同其观点和对其真实性负责,也不构成任何其他建议。