tcpdump抓包脚本

时间：2010-08-08 来源：badb0y

#!/bin/bash
#script name:maindump.sh
#author:yangjinfeng

export LANG=en

while :

STIME=`date +%F"@"%H%M%S`

DATE_DIR=`date +%F`

if [ ! -d /data/$DATE_DIR ];then

mkdir /data/$DATE_DIR

#unit:byte;512MB
MAXSIZE=536870912

/usr/sbin/tcpdump -i eth1 -w /data/$DATE_DIR/$STIME.pcap -s 0 &

          sleep 1

          DUMPPID=`ps -ef|grep "tcpdump -i eth1"|grep pcap|awk '{print $2}'`

PACKSIZE=`ls -l /data/$DATE_DIR|grep "$STIME.pcap"|awk '{print $5}'`

while [ "$PACKSIZE" -lt "$MAXSIZE" ];do

PACKSIZE=`ls -l /data/$DATE_DIR|grep "$STIME.pcap"|awk '{print $5}'`

done

kill -9 $DUMPPID

ETIME=`date +%H%M%S`

mv /data/$DATE_DIR/$STIME.pcap /data/$DATE_DIR/$STIME-$ETIME.pcap

gzip /data/$DATE_DIR/*.pcap

sleep 5

done

----------------------------------------------------------------------------------

#!/bin/bash
#script name:monitor.sh
#author:yangjinfeng
export LANG=en

MAINDUMP=`ps -elf|grep maindump|grep -v grep`

FREEDISK=`df -h|grep "/dev/sda5"|awk '{print $5}'|awk -F % '{print $1}'`

HEADMOST=`ls -l /data|grep ^d|awk '{print $NF}'|sort|head -n 1`

#check main programme status
if [ ! "$MAINDUMP" ];then

/bin/bash /home/maindump.sh

#check free disk status
if [ "$FREEDISK" -ge "90" ];then

rm -rf /data/"$HEADMOST"

fi

----------------------------------------------------------------------------------

maindump.sh (抓包的主程序)
通过死循环，让程序不断的去抓包；考虑到抓包的结果可能太大分析工具无法打开分析，所以每个数据包大小限制约为512M；
并设定了前一个包抓完，间隔5秒，开始进行下一轮抓包；
每天的数据包放在/data (/dev/sda5)下以日期命名的目录如:/data/2010-03-08，并进行压缩存储，包的命令格式为：[email protected];其中yyyy-mm-dd表示日期，第一个hhmmss表示开始抓包的时分秒，第二个hhmmss表示抓包结束的时分秒；
monitor.sh (监控脚本)
为了保证抓包主程序能健康运行，通过crond程序来调度monitor.sh；
监控抓包主程序是事正常运行，如果没有运行，则启动它；
监控磁盘的空闲空间，当磁盘的使用率大于等于90%时，会自动删除最早一天抓到的所在数据包，以保证磁盘的空闲空间；

脚本都放在home目录下；crontab里写：* */6 * * *　/bin/bash /home/monitor.sh

根据当磁盘空间的大小和流量的大小确定crontab里的时间间隔