在Linux环境下进行方便的socket读写查看器（socktop）

uperrua

原创文章，转载请注明： 转载自系统技术非业余研究
. b# U9 O: g, Y( Q; O

. i" k2 k1 l! s: R( B% \晚上 雕梁 说要找个工具来调查下unix域套接字的发送和接受情况，比如说A程序是否送出，B程序是否接收到，他找了tcpdump ,wireshark什么的，貌似都不支持。

这时候还是伟大的systemtap来救助了。 因为所有的socket通讯都是通过socket接口来的，任何family的通讯包括unix域套接都要走的，所以只要截获了socket 读写的几个syscall 就搞定了.

) T7 {4 Y+ ^, k6 O3 ssystemtap发行版本提供了个工具socktop， 位于 /usr/share/doc/systemtap/examples/network/socktop, 是个非常方便的工具, 干这个事情最合适了。
% t: E: M3 F5 v3 w
8 `$ I3 ]9 R- i. b& Tsocktop源码里面的版权和简单的功能介绍：
) S& {; l% N7 F7 J
# Socktop systemtap script
* h4 u+ \* g$ J: t% f8 j$ X9 Z# Copyright (C) 2006 IBM Corp.
8 y9 S& V/ a. R5 o#
8 V. ?) L8 `# S( L  H. S# This file is part of systemtap, and is free software. You can
: ^+ V* d4 ~6 n' {6 w" ~* l# redistribute it and/or modify it under the terms of the GNU General
# Public License (GPL); either version 2, or (at your option) any
# later version.
  y% C5 q- F: N% T3 G" L7 \
" e7 d3 M2 p7 u8 j###
### socktop – Combination shell/systemtap script to track reads and writes
) U: i1 O- d8 T: f### on sockets by process. Can be filtered by process IDs and
### names, protocols, protocol families, users and socket type.
& J+ e2 T8 i9 V0 Z# r( s) h" P###
% y. h4 @9 ^, x3 h
$ uname -r
: I. Z, h% D- h/ F& o2.6.18-164.el5
/ Y4 `: [& n9 R9 t3 O3 X5 B+ x
) {) o4 o0 R/ {: L$ rpm -i kernel-debuginfo-common-2.6.18-164.el5.x86_64.rpm
' ~# e% [) {- s7 B$ rpm -i kernel-debuginfo-2.6.18-164.el5.x86_64.rpm

& [& d& ~3 o! p4 q#使用帮助
! A1 R5 ^8 @( @( M" b. [' I! D$ /usr/share/doc/systemtap/examples/network/socktop -h
USAGE: socktop [-d] [-i interval] [-N num] [-P protocol]... [-f family]...
               [-t stype]... [-n pname]... [-p pid]... [-u username]... [-h]
    -d           # print network device traffic (default: off)
1 M. y3 D  d$ l+ q( H- `2 h    -i interval  # interval in seconds between printing (default: 5)
    -N num       # number of top processes and devices to print (default: 10)
' `9 Y  V; f5 f7 |5 D    -f family    # this protocol family only (default: all)
$ K9 c/ _' Q$ k    -P protocol  # this protocol only (default: all)
' R+ H: A% q' c    -t stype     # this socket type only (default: all)
    -n pname     # this process name only (default: all)
    -p pid       # this process ID only (default: all)
    -u username  # this user only (default: all)
9 s' u* f( p* o/ j    -c count     # number of iteration
' T2 R" A+ D2 F: ]" q3 ?    -m mod_name  # generate instrumentation (but do not run)
/ q% s$ J/ z6 C- i, z* T) L5 F    -h           # print this help text
9 @! X; W; Y+ I
4 a. y1 \3 J% wProtocol Families:
+ Z2 y0 K1 [7 F  h6 g1 @2 `) A    LOCAL, INET, INET6, IPX, NETLINK, X25, AX25, ATMPVC, APPLETALK, PACKET
& X1 R, Q* g5 A+ w# i+ b$ D
0 U$ R# W$ D0 {- V0 TProtocols:
    TCP, UDP, SCTP, IP, FC, ... (see /etc/protocols for complete list)

Socket Types:
: ]; }3 e: f0 k    STREAM, DGRAM, RAW, RDM, SEQPACKET, DCCP, PACKET
上面的使用写的很明白了，我们要过滤的是unix套接字， 每5秒报告下情况， 还顺手把网络设备的流量打出来。

$sudo /usr/share/doc/systemtap/examples/network/socktop -f LOCAL -i 5 -d
; X+ R5 z) ~  W; P8 H' }4 }======================= Thu Mar 31 21:23:03 2011 ========================
: i+ y4 X5 Y# T( o------------------------------- PROCESSES -------------------------------
PID   UID     #SEND   #RECV SEND_KB RECV_KB PROT FAMILY   COMMAND      
' ~. J- t6 a8 q# b24821 50453       1       0       0       0 IP   LOCAL    crond         
3840  0           0       2       0       0 IP   LOCAL    syslog-ng     
& f) J. e! s1 O
-------------------------------- DEVICES --------------------------------
  m! V  b) F% NDEV             #XMIT         #RECV         XMIT_KB         RECV_KB
3 R9 }) g$ m( }% ueth0              457           250             102              38
& ^  X2 r3 ?, @4 |: h. Obond0             457             0             102               0
; h/ |3 r% S4 v& X( H7 @: [lo                 24            24               2               2
# I- V8 A3 T$ o3 ~" v. t) keth1                0            10               0               0
=========================================================================
我们很清楚的看到了，crond在发，syslog-ng在收。

  [1 e% |9 Q' j) l7 E" k. n如果你想知道报文的内容的话，可以改改脚本把报文也dump出来。
8 ^. k& N3 G0 M! B" j
玩得开心!

CCxiaom

我不开心，看不懂