思路：
第一步：捉取1521端口的接收到的数据包；
直接捉取的命令如下： tcpdump -ttAvennSs 0 -i em1 src 10.50.xxx.xxx and dst port 1521
第二步：使用python 解析数据包中的SQL语句，并保存到文件里
第三步：配置crontab 定期执行包含tcpdump 的shell，并定期使用tcp.py解析数据库包

实现步骤与脚本：
（1）创建python 脚本tcp.py，用于处理捉取到数据包，提取客户端发过来的SQL。

点击(此处)折叠或打开

#!/usr/bin/python
# -*- coding: UTF-8 -*-
# tcpdump -ttAvennSs 0 -i em1 src 10.50.xxx.xxx and dst port 1521
# 需要两个输入参数 :
# 第一个参数 -- tcpdump 捉取到的SQL数据包文件及路径
# 第二个参数 -- 存放SQL语句的文件名及路径
# 使用实例：python tcp.py /root/temp.data /root/sql.txt
import sys
def find_sql(p_str):
vstr = p_str.upper()
if vstr.find('SELECT ') > 0:
vsqltext = p_str[vstr.find('SELECT '):].strip().strip('.')
elif vstr.find('AUTH_') > 0 and vstr.find('AUTH_ALTER_SESSION') == -1 and vstr.find('AUTH_SESSKEY') == -1:
vsqltext = p_str[vstr.find('AUTH_')-20:].strip().strip('.')
#print vsqltext[0:vsqltext.find('.')].strip("'")
elif vstr.find('UPDATE ') > 0:
vsqltext = p_str[vstr.find('UPDATE '):].strip().strip('.')
elif vstr.find('DELETE ') > 0:
vsqltext = p_str[vstr.find('DELETE '):].strip().strip('.')
elif vstr.find('CREATE ') > 0:
vsqltext = p_str[vstr.find('CREATE '):].strip().strip('.')
elif vstr.find('ALTER ') > 0 and p_str.find('from Oracl1e Corporation. Copyright 2003 Oracle Corporation') == -1:
vsqltext = p_str[vstr.find('ALTER '):].strip().strip('.')
elif vstr.find('BEGIN') > 0:
vsqltext = p_str[vstr.find('BEGIN'):].strip().strip('.')
elif vstr.find('WITH ') > 0:
vsqltext = p_str[vstr.find('WITH '):].strip().strip('.')
elif vstr.find('DROP ') > 0:
vsqltext = p_str[vstr.find('DROP '):].strip().strip('.')
elif vstr.find('CALL ') > 0:
vsqltext = p_str[vstr.find('CALL '):].strip().strip('.')
else:
return '0'
return vsqltext
if __name__ == '__main__':
strlist1 = []
strlist2 = []
str = ''
v_pkg_two = 0
filestr = sys.argv[1]
v_sqlfilestr = sys.argv[2]
#print sys.argv[1]
#print sys.argv[2]
if filestr == '':
print 'please input tcp data filename'
exit
if v_sqlfilestr == '':
print 'please input filename that is use to save tcp sql!'
exit
fow = open(v_sqlfilestr, 'a')
#打开文件
fo = open(filestr,'r')
for line in fo:
# 文件行是否包含'ethertype IPv4'，如果包含则为包的第一行
is_pkg_begin = line.find('ethertype IPv4')
# 判断是否为包的第一行
if is_pkg_begin > 0:
# 打印包信息,首次执行不打印
if len(strlist1) > 0:
vmac_ip = strlist1[0] + ' ' + strlist1[1] +' ' + strlist2[0] + ' ' + strlist2[2][0:-1]
vsql = find_sql(str)
if vsql <> '0':
fow.writelines('\n' + vmac_ip + '\n' + vsql)
#print vsql
#break
str = ''
# next
strlist1 = line.split(' ')
#将要读取的文件下一行为包的第二行
v_pkg_two = 1
#判断是否为包的第二行
elif v_pkg_two == 1:
# 重置第二行标识符
v_pkg_two = 0
#去掉左边的空格
strlist2 = line.lstrip().split(' ')
else:
# 每个包可能有多行数据，需要组合起来
str = str + line
# 关闭打开的文件
fo.close
fow.close( )

（2）捉取1521端口接收到的数据库，并调用tcp.py 提取数据包中的SQL语句。
shell脚本名称 tcp1521.sh ,代码如下：

点击(此处)折叠或打开

#!/bin/bash
# tcpdump -ttAvennSs 0 -i bond0 dst port 1521 > /dev/shm/tcpdata/tcpdata1521.data
vdate=`date +%Y%m%d`
vsqlfile=/home/oracle/script/tcpdumpsql/tcp_sql_${vdate}.txt
vpythonscript=/home/oracle/script/tcpdumpsql/tcp.py
#获取日期
vdatetime=`date +%Y%m%d%H%M%S`
#捉取到的数据包的存放目录，定期从srcfile迁移到dstfile
vfilepath='/dev/shm/tcpdata/data'
vfilepath1='/dev/shm/tcpdata'
dstfile=${vfilepath}/tcp${vdatetime}
srcfile=${vfilepath1}/tcp1521.data
cd /dev/shm
mkdir -p $vfilepath
if [ ! -d $vfilepath ]; then
echo "$vfilepath not a path"
exit
fi
#if [ ! -f $srcfile ]; then
# echo "$srcfile not exists"
# exit
#fi
# 从srcfile迁移到dstfile
mv ${srcfile} ${dstfile}
# 结束tcpdump 进程（如果不结束，没办法迁移文件）
killall tcpdump
# 开启新的tcpdump 进程
tcpdump -ttAvennSs 0 -i em1 dst port 1521 > ${srcfile} &
# 查找捉取到的数据包文件，并遍历使用tcp.py 解析数据包
filelist=`ls $vfilepath|sort -k9`
for file in $filelist
do
echo $vfilepath/$
# 调用tcp.py 解析数据包，存放到$vsqlfile文件里
/usr/bin/python $vpythonscript $vfilepath/$file $vsqlfile
# 删除已解析的数据包文件
rm -rf $vfilepath/$file
done

（3）配置crontab，定期执行tcp521.sh
必须要定期执行，否则数据包文件会过大，容易撑爆磁盘空间。
#tcpdump sql
00 */2 * * * root /home/oracle/script/tcpdumpsql/tcp1521.sh >/dev/null 2>&1

ITPub博客

ORACLE：使用tcpdump 监控客户端发过来的所有SQL语句

最新文章