抓取应用程序sql语句

一、利用tcpdump和wireshark 抓包方法

1、下载安装wireshark（windows用）
注：可以用wireshark 抓包和分析包
https://www.wireshark.org/

2、安装tcpdump（linux用）

yum install tcpdump -y

3、在数据库服务器上抓数据包（这里抓mysql）

看下连接情况，有的是scoket连接的就无法用这种方法了，只能在数据库日志上做文章了，注意入侵式要考虑是否影响业务

单个端口

tcpdump -i any -s 0 -nnvvX port 3306  -A -w mysql.pcap

多个端口

tcpdump -i any -s 0 -nnvvX 'port 3306 or port 33060' -A -w mysql.pcap

-i any：监听所有网络接口，包括IPv4和IPv6的接口。
-s 0：捕获完整的数据包长度，避免截断数据。
-nnvvX：分别表示不转换主机名和端口名（-n），详细输出（-v），更详细输出（-vv），以及以十六进制和ASCII格式显示数据（-X）。
‘port 3306 or port 33060’：过滤条件，抓取目的或源端口为3306或33060的数据包。
-A：以ASCII格式打印数据包的内容，这对于查看SQL查询文本特别有用。

4、使用wireshark分析包 获取sql语句

wireshark 可以识别mysql 协议，但是有时候我们会使用代理如haproxy 需要更改下协议

ctrl+shift+u 打开切换协议




5、补充其他数据库说明
（1）sqlserver wireshark 抓取

同样的方法用wireshark直接抓取

（2）sqlserver 使用 profiler 抓取sql



（3）oracle抓取

tcpdump -i any -s 0 -nnvvX port 1521  -A -w oracle.pcap

这里复制为16进制的数据

0000 ec 01 01 00 00 00 01 00 00 00 03 5e ed 69 80 00 …^.i…
0010 00 00 00 00 00 01 84 00 00 00 01 0d 00 00 00 01 …
0020 01 00 00 00 00 00 00 00 00 00 00 00 00 01 01 00 …
0030 00 00 00 01 00 01 01 01 00 00 00 00 00 00 00 00 …
0040 01 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 …
0050 2c 73 65 6c 65 63 74 20 2a 20 66 72 6f 6d 20 74 ,select * from t
0060 6b 74 5f 63 68 65 63 6b 64 65 74 61 69 6c 20 77 kt_checkdetail w
0070 68 65 72 65 20 69 64 20 3d 20 3a 49 44 01 00 00 here id = :ID…
0080 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 …
0090 00 00 00 00 00 00 00 00 00 01 00 00 00 00 00 00 …
00a0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 …
00b0 00 02 03 00 00 15 00 00 00 00 00 00 00 00 00 00 …
00c0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 07 05 …
00d0 c4 1b 1b 09 1d …

这样就可以得到sql了，不好解析的话扔ai里就把sql弄出来了