ITPub博客

首页 > 数据库 > Oracle > [20140212]linux下使用tcpdump抓取sql语句

[20140212]linux下使用tcpdump抓取sql语句

Oracle 作者:lfree 时间:2014-02-13 11:29:06 0 删除 编辑

[20140212]linu下使用tcpdump抓取sql语句.txt

我们生产系统问题多多,经常要跟踪用户执行的sql语句,当出现问题时要跟踪比较麻烦,我需要一个快捷的方式"看到"用户执行的sql语
句,想到了tcpdump抓包软件。

我测试建立shell脚本如下:

#! /bin/bash
/usr/sbin/tcpdump -l -i eth0 -s 16384 -A -nn src host $1 and dst port 1521

--说明:
-- -l     Make stdout line buffered.  Useful if you want to see the data while capturing it.  E.g.,
          ''tcpdump  -l  |  tee dat'' or ''tcpdump  -l   > dat  &  tail  -f  dat''.
--这样可以立即看到包。不然要等待缓存,可能漏掉一些sql语句。
-- -i     指网络接口。
-- -s     抓包长度,这个设置多少我还真不知道,我乱写为16384
-- -A     Print each packet (minus its link level header) in ASCII.  Handy for capturing web pages.

--- 执行很简单,参数使用ip地址就ok了。

Tcpdumpsql ip_address

很明显抓取的东西有一些乱。虽然sql语句也在里面,但是显示太乱了。想到了一些过滤命令grep等等。但是如果sql语句太长,这样也不
是很好。我开始google看看是否有人写一些相似的命令,输入tcpdump oracle

http://appcrawler.com/wordpress/2012/08/01/tcpdump-to-see-oracle-errors/

他使用tcpdump抓取oracle错误。在其网站检索发现:
http://appcrawler.com/wordpress/2012/11/09/tracing-sql-across-the-wire/

这个正是我需要的。

按照以上脚本修改如下:

# cat /usr/local/bin/Tcpdumpsql
#! /bin/bash
/usr/sbin/tcpdump -l -i eth0 -s 16384 -A -nn src host $1 and dst port 1521 |  sed  -u -e  "s/^\.*//;s/\.*$//" | \
awk '{if (tolower($0) ~ "select" || tolower($0) ~ "update" ||  tolower($0) ~ "delete") {p=1;print} \
else if(p == 1 && $0 !~ "^[0-9][0-9]:") {print} else if ($0 ~ "^[0-9][0-9]:") {p=0}}'

--前面的. 实际上前面含有^M。修改如下ok了。

#! /bin/bash
/usr/sbin/tcpdump  -l -i eth0 -s 16384 -A -nn src host $1 and dst port 1521 2>/dev/null | sed -u -e  "s/^M/!/g;s/^E\.\..\{1,100\}//;s/\.*$//;s/^\.*//" | \
awk '{if (tolower($0) ~ "select" || tolower($0) ~ "update" ||  tolower($0) ~ "delete" || tolower($0) ~ "insert" ) {p=1;print} \
else if(p == 1 && $0 !~ "^[0-9][0-9]:") {print} else if ($0 ~ "^[0-9][0-9]:") {p=0}}'

--^M 输入要ctrl+v ctrl+m.

顺便测试alter session set cursor_sharing=force ;转换成绑定在那里发生:

alter session set cursor_sharing=force ;
select * from dept where deptno= 30;

截取sql如下:
#select * from dept where deptno= 30

--保持原样,可见转换在服务器端完成。

前面的#实际上sql语句的长度指示器。

select dump('#') from dual ;
DUMP('#')
-------------------
Typ=96 Len=1: 35

select length('select * from dept where deptno= 30') from dual ;
LENGTH('SELECT*FROMDEPTWHEREDEPTNO=30')
---------------------------------------
                                     35
--sql语句长度35,正好合适。

如果很长FF+sql语句+FF+sql语句+剩下长度+sql语句,这样截取的可能有不需要的字符。不过仅仅拿来看个大概,基本没有问题。还有一些前面可能出现\n,这样转换可能存在一些问题,
总体满足自己的需要。

来自 “ ITPUB博客 ” ,链接:http://blog.itpub.net/267265/viewspace-1080698/,如需转载,请注明出处,否则将追究法律责任。

请登录后发表评论 登录
全部评论
熟悉oracle相关技术,擅长sql优化,rman备份与恢复,熟悉linux shell编程。

注册时间:2008-01-03

  • 博文量
    2488
  • 访问量
    6293030