tcpdump能幫助我們捕捉并保存網絡包,保存下來的網絡包可用于分析網絡負載情況,包可通過tcpdump命令解析,也可以保存成后綴為pcap的文件,使用wireshark等軟件進行查看，下面我們就來看一個tcpdump實現24小時自動抓包實現例子.

安裝tcpdump,代碼如下:

# yum install tcpdump

腳本里有注釋#diy的,表示下一行需自定義修改,腳本都放在home目錄下,crontab里寫:

1. * */6 * * * /bin/bash /home/monitor_dump.sh 
2. * */6 * * * /bin/bash /home/monitor_disk.sh 

根據當磁盤空間的大小和流量的大小確定crontab里的時間間隔,因加了crontab要時間到才執行,為了現在執行,可執行:nohup sh /home/monitor_dump.sh &

vi常用命令:

# vi /etc/crontab

insert進入編輯狀態,ESC進入命令狀態:wq保存退出:q退出,修改后要執行 crontab /etc/crontab.

main_dump.sh (抓包的主程序),每隔1分鐘通過死循環檢測,讓程序不斷的去抓包,考慮到抓包的結果可能太大分析工具無法打開分析,所以每個數據包大小限制約為100M.并設定了前一個包抓完,間隔5秒,開始進行下一輪抓包.

每天的數據包放在/data下以日期命名的目錄如:/data/2010-03-08，并進行壓縮存儲,包的命令格式為:yyyy-mm-dd@hhmmss-hhmmss.pcap.gz;其中yyyy-mm-dd表示日期,第一個hhmmss表示開始抓包的時分秒,第二個hhmmss表示抓包結束的時分秒,代碼如下:

1. #!/bin/bash 
2. #script name:/home/main_dump.sh 
3.  
4. while : 
5. do 
6.     STIME=`date +%F"@"%H%M%S` 
7.     DATE_DIR=`date +%F` 
8.     if [ ! -d /data/$DATE_DIR ];then 
9.         mkdir -p /data/$DATE_DIR 
10.     fi 
11.  
12.     #diy #unit:byte;100MB 
13.     MAXSIZE=100000000 
14.     #diy 
15.     DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap|awk '{print $2}'` 
16.  
17.     if [ ! "$DUMPPID" ];then 
18.     #diy 
19.         /usr/sbin/tcpdump -i eth0 host 113.105.152.180 -w /data/$DATE_DIR/$STIME.pcap -s 0 & 
20.     fi 
21.  
22.     sleep 1 
23.  
24.     #diy 
25.     DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap|awk '{print $2}'` 
26.  
27.     PACKSIZE=`ls -l /data/$DATE_DIR|grep "$STIME.pcap"|awk '{print $5}'` 
28.     while [ "$PACKSIZE" -lt "$MAXSIZE" ];do 
29.         PACKSIZE=`ls -l /data/$DATE_DIR|grep "$STIME.pcap"|awk '{print $5}'`  //Vevb.com 
30.         sleep 1m 
31.     done 
32.     kill -9 $DUMPPID 
33.     ETIME=`date +%H%M%S` 
34.     mv /data/$DATE_DIR/$STIME.pcap /data/$DATE_DIR/$STIME-$ETIME.pcap 
35.     gzip /data/$DATE_DIR/*.pcap 
36.     sleep 5 
37. done 

monitor_dump.sh(監控抓包腳本)

為了保證抓包主程序能健康運行,通過crontab程序來調度monitor_dump.sh,監控抓包主程序是事正常運行,如果沒有運行,則啟動它,代碼如下:

1. #!/bin/bash 
2. #script name:/home/monitor_dump.sh 
3.  
4. DATE_DIR=`date +%F` 
5. STIME=`date +%F"@"%H%M%S` 
6. MAINDUMP=`ps -elf|grep maindump|grep -v grep` 
7. #diy 
8. DUMPPID=`ps -ef|grep "tcpdump -i eth0"|grep pcap` 
9.  
10. #check main programme status 
11. if [ ! "$MAINDUMP" ];then 
12.     /bin/bash /home/maindump.sh 
13. fi 
14.  
15. if [ ! "$DUMPPID" ];then 
16. #diy 
17.     /usr/sbin/tcpdump -i eth0 host 113.105.152.180 -w /data/$DATE_DIR/$STIME.pcap -s 0 & 
18. fi 

monitor_disk.sh(監控硬盤空間)

監控磁盤的空閑空間,當磁盤的使用率大于等于30%時(可設置),會自動刪除最早一天抓到的所在數據包,以保證磁盤的空閑空間,代碼如下:

1. #!/bin/bash 
2. #script name:/home/monitor_disk.sh 
3.  
4. #diy 
5. FREEDISK=`df -h|grep "/dev/sda3"|awk '{print $5}'|awk -F % '{print $1}'` 
6.  
7. HEADMOST=`ls -l /data|grep ^d|awk '{print $NF}'|sort|head -n 1` 
8.  
9. #check free disk status  
10. #diy 
11. if [ "$FREEDISK" -ge "30" ];then 
12.     rm -rf /data/"$HEADMOST"        
13. fi