linux网络log的抓取可以使用命令tcpdump来抓取,命令详细信息如下:
tcpdump
options:
-a:尝试将网络和广播地址转换成名称;
-c<数据包数目>:收到指定的数据包数目后,就停止进行倾倒操作;
-d:把编译过的数据包编码转换成可阅读的格式,并倾倒到标准输出;
-dd:把编译过的数据包编码转换成C语言的格式,并倾倒到标准输出;
-ddd:把编译过的数据包编码转换成十进制数字的格式,并倾倒到标准输出;
-e:在每列倾倒资料上显示连接层级的文件头;
-f:用数字显示网际网络地址;
-F<表达文件>:指定内含表达方式的文件;
-i<网络界面>:使用指定的网络截面送出数据包;
-l:使用标准输出列的缓冲区;
-n:不把主机的网络地址转换成名字;
-N:不列出域名;
-O:不将数据包编码最佳化;
-p:不让网络界面进入混杂模式;
-q :快速输出,仅列出少数的传输协议信息;
-r<数据包文件>:从指定的文件读取数据包数据;
-s<数据包大小>:设置每个数据包的大小;
-S:用绝对而非相对数值列出TCP关联数;
-t:在每列倾倒资料上不显示时间戳记;
-tt: 在每列倾倒资料上显示未经格式化的时间戳记;
-T<数据包类型>:强制将表达方式所指定的数据包转译成设置的数据包类型;
-v:详细显示指令执行过程;
-vv:更详细显示指令执行过程;
-x:用十六进制字码列出数据包资料;
-w<数据包文件>:把数据包数据写入指定的文件。
tcpdump可以在命令中输入获取,那如果后台获取网络log并保存成文件呢,这里有两种方式。
第一种,也是利用tcpdump,将应用程序携程deamon的形式,并使用system函数执行tcpdump -i eth0 -w filename。这种方式比较简单,并且平台兼容性比较强,因为我们只是调用的平台提供的接口而已。
第二种,直接抓取链路层的网络数据,linux提供了原始套接字RAW_SOCKET,可以获取链路层的报文。这里也有两种方式获取数据,第一种是通过socket的方式,打开指定的网卡,然后通过recv函数获取数据。另外一种是使用packet_mmp共享内存的方式获取数据。读取出来的数据保存成pcap的文件格式。这种方式平台的兼容性较差。保存成pcap文件时linktype很重要,如果linktype错误,会导致报错误甚至打不开的情况。有的时候就算linktype正确也会因为平台的差异而导致读取的数据可是不符而打开失败。