ORACLE：使用tcpdump 監控客戶端發過來的所有SQL語句

gxlineji發表於2016-08-25
OracleTCP客戶端SQL
思路： 
 第一步：捉取1521埠的接收到的資料包；
    直接捉取的命令如下： tcpdump -ttAvennSs 0 -i em1 src 10.50.xxx.xxx and dst port 1521
 第二步：使用python 解析資料包中的SQL語句，並儲存到檔案裡 
 第三步： 配置crontab 定期執行包含tcpdump 的shell，並定期使用tcp.py解析資料庫包



實現步驟與指令碼：
（1） 建立python 指令碼tcp.py，用於處理捉取到資料包，提取客戶端發過來的SQL。

點選(此處)摺疊或開啟

  1. #!/usr/bin/python
  2. # -*- coding: UTF-8 -*-
  3. # tcpdump -ttAvennSs 0 -i em1 src 10.50.xxx.xxx and dst port 1521
  4. # 需要兩個輸入引數 :
  5. #    第一個引數 -- tcpdump 捉取到的SQL資料包檔案及路徑
  6. #    第二個引數 -- 存放SQL語句的檔名及路徑
  7. # 使用例項：python tcp.py /root/temp.data /root/sql.txt
  8. import sys

  10. def find_sql(p_str):
  11.     vstr = p_str.upper()
  12.     if vstr.find('SELECT ') > 0:
  13.         vsqltext = p_str[vstr.find('SELECT '):].strip().strip('.')
  14.     elif vstr.find('AUTH_') > 0 and vstr.find('AUTH_ALTER_SESSION') == -1 and vstr.find('AUTH_SESSKEY') == -1:
  15.         vsqltext = p_str[vstr.find('AUTH_')-20:].strip().strip('.')
  16.         #print vsqltext[0:vsqltext.find('.')].strip("'")
  17.     elif vstr.find('UPDATE ') > 0:
  18.         vsqltext = p_str[vstr.find('UPDATE '):].strip().strip('.')
  19.     elif vstr.find('DELETE ') > 0:
  20.         vsqltext = p_str[vstr.find('DELETE '):].strip().strip('.')
  21.     elif vstr.find('CREATE ') > 0:
  22.         vsqltext = p_str[vstr.find('CREATE '):].strip().strip('.')
  23.     elif vstr.find('ALTER ') > 0 and p_str.find('from Oracl1e Corporation. Copyright 2003 Oracle Corporation') == -1:
  24.         vsqltext = p_str[vstr.find('ALTER '):].strip().strip('.')
  25.     elif vstr.find('BEGIN') > 0:
  26.         vsqltext = p_str[vstr.find('BEGIN'):].strip().strip('.')
  27.     elif vstr.find('WITH ') > 0:
  28.         vsqltext = p_str[vstr.find('WITH '):].strip().strip('.')
  29.     elif vstr.find('DROP ') > 0:
  30.         vsqltext = p_str[vstr.find('DROP '):].strip().strip('.')
  31.     elif vstr.find('CALL ') > 0:
  32.         vsqltext = p_str[vstr.find('CALL '):].strip().strip('.')
  33.     else:
  34.         return '0'
  35.     return vsqltext

  37. if __name__ == '__main__':
  38.     strlist1 = []
  39.     strlist2 = []
  40.     str = ''
  41.     v_pkg_two = 0
  42.     filestr = sys.argv[1]
  43.     v_sqlfilestr = sys.argv[2]
  44.     #print sys.argv[1]
  45.     #print sys.argv[2]
  46.     if filestr == '':
  47.         print 'please input tcp data filename'
  48.         exit
  49.         if v_sqlfilestr == '':
  50.                 print 'please input filename that is use to save tcp sql!'
  51.                 exit
  52.         fow = open(v_sqlfilestr, 'a')
  53.     #開啟檔案
  54.     fo = open(filestr,'r')
  55.     for line in fo:
  56.         # 檔案行是否包含'ethertype IPv4'，如果包含則為包的第一行
  57.         is_pkg_begin = line.find('ethertype IPv4')
  58.         # 判斷是否為包的第一行
  59.         if is_pkg_begin > 0:
  60.             # 列印包資訊,首次執行不列印
  61.             if len(strlist1) > 0:
  62.                 vmac_ip = strlist1[0] + ' ' + strlist1[1] +' ' + strlist2[0] + ' ' + strlist2[2][0:-1]
  63.                 vsql = find_sql(str)
  64.                 if vsql <> '0':
  65.                     fow.writelines('\n' + vmac_ip + '\n' + vsql)
  66.                     #print vsql
  67.                     #break
  68.             str = ''
  69.             # next
  70.             strlist1 = line.split(' ')
  71.             #將要讀取的檔案下一行為包的第二行
  72.             v_pkg_two = 1
  73.         #判斷是否為包的第二行
  74.         elif v_pkg_two == 1:
  75.             # 重置第二行識別符號
  76.             v_pkg_two = 0
  77.             #去掉左邊的空格
  78.             strlist2 = line.lstrip().split(' ')
  79.         else:
  80.             # 每個包可能有多行資料，需要組合起來
  81.             str = str + line
  82.     # 關閉開啟的檔案
  83.     fo.close
  84.     fow.close( )

（2）捉取1521埠接收到的資料庫，並呼叫tcp.py 提取資料包中的SQL語句。
shell指令碼名稱 tcp1521.sh ,程式碼如下：

點選(此處)摺疊或開啟

  1. #!/bin/bash
  2. # tcpdump -ttAvennSs 0 -i bond0 dst port 1521 > /dev/shm/tcpdata/tcpdata1521.data
  4. vdate=`date +%Y%m%d`
  6. vsqlfile=/home/oracle/script/tcpdumpsql/tcp_sql_${vdate}.txt
  7. vpythonscript=/home/oracle/script/tcpdumpsql/tcp.py
  8. #獲取日期
  9. vdatetime=`date +%Y%m%d%H%M%S`
  10. #捉取到的資料包的存放目錄，定期從srcfile遷移到dstfile
  11. vfilepath='/dev/shm/tcpdata/data'
  12. vfilepath1='/dev/shm/tcpdata'
  14. dstfile=${vfilepath}/tcp${vdatetime}
  15. srcfile=${vfilepath1}/tcp1521.data
  17. cd /dev/shm
  19. mkdir -p $vfilepath
  21. if [ ! -d $vfilepath ]; then
  22. echo "$vfilepath not a path"
  23. exit
  24. fi
  26. #if [ ! -f $srcfile ]; then
  27. # echo "$srcfile not exists"
  28. # exit
  29. #fi
  30. # 從srcfile遷移到dstfile
  31. mv ${srcfile} ${dstfile}
  32. # 結束tcpdump 程式（如果不結束，沒辦法遷移檔案）
  33. killall tcpdump
  34. # 開啟新的tcpdump 程式
  35. tcpdump -ttAvennSs 0 -i em1 dst port 1521 > ${srcfile} &
  36. # 查詢捉取到的資料包檔案，並遍歷使用tcp.py 解析資料包
  37. filelist=`ls $vfilepath|sort -k9`
  38. for file in $filelist
  39. do
  40. echo $vfilepath/$
  41. # 呼叫tcp.py 解析資料包，存放到$vsqlfile檔案裡
  42. /usr/bin/python $vpythonscript $vfilepath/$file $vsqlfile
  43. # 刪除已解析的資料包檔案
  44. rm -rf $vfilepath/$file
  45. done

（3） 配置crontab，定期執行tcp521.sh 
必須要定期執行，否則資料包檔案會過大，容易撐爆磁碟空間。
#tcpdump sql
00  */2  *  *  *  root  /home/oracle/script/tcpdumpsql/tcp1521.sh  >/dev/null 2>&1



來自 “ ITPUB部落格 ” ，連結：http://blog.itpub.net/10995764/viewspace-2124028/，如需轉載，請註明出處，否則將追究法律責任。

相關文章