之前一直都是使用nc來傳資料到 syslog

但這几天發現做好的檔案都被砍了

反正eset現在不允許nc的執行

另外找了一個 sfk

之前有試過 但當時有不少bug

語法如下

sfk oload log.txt +udpsend 10.0.0.1:514

http://stahlworks.com/sfk-udpsend

之前一直都是使用nc來把crystal diskinfo收集到的資料傳到syslog

但nc 一直有個問題就是會被大多數的防毒軟体判斷為惡意程式

今天又要crystal diskinfo 更新

想說再來找看看有沒有其他的替代工具

結果發現了  swiss file knife

超強的

重點是不會被防毒FP

記一下把檔案傳到 syslog的語法

type diskinfo.txt | sfk.exe tonetlog 10.0.0.1:514

其他的功能有用到再來看

發現一個問題

sfk tonetlog 最多只能傳送 1500 byte

所以diskinfo.txt會被截斷

先改回來nc

http://stahlworks.com/dev/swiss-file-knife.html

https://sourceforge.net/projects/swissfileknife/

http://stahlworks.com/dev/index.php?tool=netlog

http://netcat.sourceforge.net/

利用windows 本身的工具取得diskstatus 並傳回log server

wmic diskdrive get model, status > diskstatus.txt

type diskstatus.txt | nc -w 2 -u 1.2.3.4 514

也可以寫成

wmic diskdrive get model, status | nc -w 2 -u 1.2.3.4 514

不過傳到log server的值會分成二行

之前提到graylog如果要把別机器log file的資料丟過來
要另外裝軟体
今天想到一個方法
使用tail -f 加上nc 就可以解決了

首先在graylog上新增一個input

sytem/inputs - inputs 選擇 Raw/Plaintext TCP

選擇node 在title上給一個名字 再來指定port  再來save就可以了

之後再要傳送log的server上使用

tail -F /var/log/messages | nc 1.1.1.1 6666

必須使用 -F 否則logrotate後就不會再送資料了

1.1.1.1為graylog的ip
6666為上一步驟所指定的port

這樣資料就進來了

只是有個問題 如果graylog重開 nc就會斷掉了

因此寫了一個shell來開机執行

#!/bin/bash
#check graylog data send every 5 secs
while [ true ]
do
sleep 5
ps -ef|grep 1.1.1.1|grep -v grep || /usr/bin/tail -F /var/log/messages | /usr/bin/nc 1.1.1.1 6666
done

每5秒檢查一次 如果有問題就重下指令

最近把server慢慢升到centos 7
一些轉換用到的東西記一下

原本使用ftp server 來傳資料　改用ssh
lftp sftp://user:password@host  -e "put local-file.name; bye"

裝好log server後使用 nc來進行測試
echo ‘<14>sourcehost message text’ | nc -v -u -w 0 server_ip 514