本站文章除标题中注明“原”以外，其他均来自网络或书籍，如果我的引用侵犯了您的权力，请与我联系，我将及时处理；如果任何人想转载这些文章，则请保留原始的出处信息，或者直接与原作者联系。

Linux常见日志文件和常用命令

上一篇 / 下一篇  2006-12-29 13:45:02 / 个人分类：Linux&Unix

查看( 1106 ) / 评论( 0 ) / 评分( 0 / 0 )
成功地管理任何系统的关键之一，是要知道系统中正在发生什么事。Linux 中提供了异常日志，并且日志的细节是可配置的。Linux 日志都以明文形式存储，所以用户不需要特殊的工具就可以搜索和阅读它们。还可以编写脚本，来扫描这些日志，并基于它们的内容去自动执行某些功能。 Linux 日志存储在 /var/log 目录中。这里有几个由系统维护的日志文件，但其他服务和程序也可能会把它们的日志放在这里。大多数日志只有root账户才可以读，不过修改文件的访问权限就可以让其他人可读。51Testing软件测试网{f-i1c pjdxR}bF
51Testing软件测试网7^C4K._|J

0Y9z"S~xYWm9c0　　RedHat Linux常用的日志文件
i^ Mt nk8H-P_9q~051Testing软件测试网lWB}2Fq}F7z;p
51Testing软件测试网 mb6uW5Av
　　RedHat Linux常见的日志文件详述如下51Testing软件测试网*iJ1i9~rc
51Testing软件测试网%j)Md+A%FE0Ho\:c[X
　　/var/log/boot.log
9~MQ z/q;{ANt051Testing软件测试网!l)x3D]3L0w)} r }
　　该文件记录了系统在引导过程中发生的事件，就是Linux系统开机自检过程显示的信息。
;pl0\ V`)]051Testing软件测试网n~$X)S$JpL
51Testing软件测试网p(}ZZ#{ Pcr3w5KO
　　/var/log/cron
Xp|*c,K0
.aB"k|\j0　　该日志文件记录crontab守护进程crond所派生的子进程的动作，前面加上用户、登录时间和PID，以及派生出的进程的动作。CMD的一个动作是cron派生出一个调度进程的常见情况。REPLACE（替换）动作记录用户对它的cron文件的更新，该文件列出了要周期性执行的任务调度。 RELOAD动作在REPLACE动作后不久发生，这意味着cron注意到一个用户的cron文件被更新而cron需要把它重新装入内存。该文件可能会查到一些反常的情况。
[ U XR:{qh8Ayg0
+e"Y#\c;sX051Testing软件测试网_![+FlR!i"@l
　　/var/log/maillog51Testing软件测试网!V]&{;lKb`&?
51Testing软件测试网4fib5`d3J:g?n
　　该日志文件记录了每一个发送到系统或从系统发出的电子邮件的活动。它可以用来查看用户使用哪个系统发送工具或把数据发送到哪个系统。下面是该日志文件的片段：51Testing软件测试网!o*ur"^5GdL#t
51Testing软件测试网;|2]8c!|z4ZI2o

?Ce#K lv,p g8A0QUOTE:51Testing软件测试网A ahLM ]bl0w*B
51Testing软件测试网^3_;} j'Zc)MN&z4a
Sep 4 17:23:52 UNIX sendmail[1950]: g849Npp01950: from=root, size=25,
E5EE2T1y1o-M%@e0
])ha,vTx1ks0class=0, nrcpts=1,
%tN'T"|/v C{)XR3E051Testing软件测试网j,Y H![Cn
msgid=<200209040923.g849Npp01950@redhat.pfcc.com.cn>,
;WKa.M*gb g]6Ey051Testing软件测试网 y*A&|#W_ iB
relay=root@localhost
!Bl5` hp_(V0
:e:fXEu|7O0Sep 4 17:23:55 UNIX sendmail[1950]: g849Npp01950: to=lzy@fcceec.net,
+^,dN"L(\w U*f0
$P~9G'W+p3B;~0ctladdr=root (0/0), delay=00:00:04, xdelay=00:00:03, mailer=esmtp, pri=30025,
eO-UE!M1TU0
+u/\1m0^ oo0B:g0relay=fcceec.net. [10.152.8.2], dsn=2.0.0, stat=Sent (Message queued)
;Yd(T8D^*w0
U\6jz'd;\q)d I$S0/var/log/messages51Testing软件测试网a+^^%BE F'L$f)a

q2{i!g z b6R4c8NM"k0
9CxM*VEs:Y0　　该日志文件是许多进程日志文件的汇总，从该文件可以看出任何入侵企图或成功的入侵。如以下几行：51Testing软件测试网7v9_X^MS6Jq
51Testing软件测试网+F\^&W+kC

j"t7q#V4h)_)Q/D0QUOTE:
h$_:i'UFH-M5C0
R$R c:e;DU051Testing软件测试网)s^'Y,C1Y
Sep 3 08:30:17 UNIX login[1275]: FAILED LOGIN 2 FROM (null) FOR suying,51Testing软件测试网?qS'n8A F)p}5?z

`.m3XF2?B5]"A0Authentication failure
`[r.Zkb0
,wYJ li"]Z Ip&w:[x0Sep 4 17:40:28 UNIX -- suying[2017]: LOGIN ON pts/1 BY suying FROM
o L![8A(^#[2H0
C RBs8QK?:B0fcceec.www.ec8.pfcc.com.cn51Testing软件测试网4E9d$VU ~S

}| IHK?I0Sep 4 17:40:39 UNIX su(pam_unix)[2048]: session opened for user root by suying(uid=999)51Testing软件测试网.S@~v\!Bb

J/F3`l E)Y051Testing软件测试网)m b"s_6s
51Testing软件测试网6F n7L c Z
　　该文件的格式是每一行包含日期、主机名、程序名，后面是包含PID或内核标识的方括号、一个冒号和一个空格，最后是消息。该文件有一个不足，就是被记录的入侵企图和成功的入侵事件，被淹没在大量的正常进程的记录中。但该文件可以由/etc/syslog文件进行定制。由 /etc/syslog.conf配置文件决定系统如何写入/var/messages。有关如何配置/etc/syslog.conf文件决定系统日志记录的行为，将在后面详细叙述。51Testing软件测试网3x!oc J,YM8UU&~

!Q5[4f!eJ,K051Testing软件测试网B ?\e Y6q*X^{2ke
　　/var/log/syslog51Testing软件测试网.Q8s#W6~7\7y+G-RH4n
51Testing软件测试网 t)s L+v;e8`
　　默认RedHat Linux不生成该日志文件，但可以配置/etc/syslog.conf让系统生成该日志文件。它和/etc/log/messages日志文件不同，它只记录警告信息，常常是系统出问题的信息，所以更应该关注该文件。要让系统生成该日志文件，在/etc/syslog.conf文件中加上： *.warning /var/log/syslog 　　该日志文件能记录当用户登录时login记录下的错误口令、Sendmail的问题、su命令执行失败等信息。下面是一条记录：51Testing软件测试网P mz5l N P/u`
51Testing软件测试网:w8h g`l

*\"~"e/l:Y(cvbY)s0QUOTE:51Testing软件测试网1{JG a SU8D:vfyu T8l
51Testing软件测试网?~D k&v
51Testing软件测试网)v,~.Yal%^
Sep 6 16:47:52 UNIX login(pam_unix)[2384]: check pass; user unknown
5p fp"z5{,A2Y051Testing软件测试网'EF/[!W qFo gS$Y
/var/log/secure51Testing软件测试网c t!}:hc#A
51Testing软件测试网[p[-c"dI
该日志文件记录与安全相关的信息。该日志文件的部分内容如下：51Testing软件测试网k9j*bC1_3}'k
51Testing软件测试网0[up:G B F.N8K*m

_(y U!td^0QUOTE:51Testing软件测试网g:f)Ynnn
51Testing软件测试网I-^)I i}-g?"E
Sep 4 16:05:09 UNIX xinetd[711]: START: ftp pid=1815 from=127.0.0.1
"i'xg o.Z5[0
ZzXz"T!Wt0Sep 4 16:05:09 UNIX xinetd[1815]: USERID: ftp OTHER :root51Testing软件测试网#[~;P|~2_4Pd |
51Testing软件测试网B0ls@,m(hBfZ5v7L
Sep 4 16:07:24 UNIX xinetd[711]: EXIT: ftp pid=1815 duration=135(sec)
\+LH$V#Ax O051Testing软件测试网8e ^9U `,C"`9FNs4~
Sep 4 16:10:05 UNIX xinetd[711]: START: ftp pid=1846 from=127.0.0.151Testing软件测试网yR{9o!X qL1]

}B4d3FX&^0Sep 4 16:10:05 UNIX xinetd[1846]: USERID: ftp OTHER :root51Testing软件测试网5Fj9|:HC3k6C!}

3g zj;N,kd4s+\([l0Sep 4 16:16:26 UNIX xinetd[711]: EXIT: ftp pid=1846 duration=381(sec)51Testing软件测试网{rv]'Q$aA
51Testing软件测试网Hs s7d3k9D ~0fzV
Sep 4 17:40:20 UNIX xinetd[711]: START: telnet pid=2016 from=10.152.8.2
F|/e$P*@9`:e0
D [H1h4~Ob0/var/log/lastlog
S,HSIdN ^051Testing软件测试网%u z(P!]xU"f5{'C @

"CoW9P |[0r}k-h0
c9d7L l+x051Testing软件测试网Ax,u2t"| {2P Th X
　　该日志文件记录最近成功登录的事件和最后一次不成功的登录事件，由login生成。在每次用户登录时被查询，该文件是二进制文件，需要使用 lastlog命令查看，根据UID排序显示登录名、端口号和上次登录时间。如果某用户从来没有登录过，就显示为"**Never logged in**"。该命令只能以root权限执行。简单地输入lastlog命令后就会看到类似如下的信息：51Testing软件测试网1z)avb*w-_\
51Testing软件测试网y3A+]-J dY z

XWQ;d&|m zj}0QUOTE:
cb9T2_&Z0
?7C)Sh pMA \0Username Port From Latest
`;g a6p@8D0
0|(c+SV Z;[0w+j+e0root tty2 Tue Sep 3 08:32:27 +0800 2002
6wuH1q{b0
1Am4JGo8Mb0bin **Never logged in**
| ?-O.^g'ju$E0
$x#V)AUR0daemon **Never logged in**51Testing软件测试网4cJ,A x*?l dAx2lc
51Testing软件测试网1D0uV*J `#a!?4^:Sn
adm **Never logged in**
"ES1y]G]0
l/h+k5} o)kO-p0lp **Never logged in**51Testing软件测试网E6kI+by
51Testing软件测试网#hU)?JO7Y N8].@H
sync **Never logged in**51Testing软件测试网^z"LNr6d0X ^F ^O
51Testing软件测试网Cjm2`E'o }/OAT
shutdown **Never logged in**
vk`k T&s{0
+@r XHs/s4l0halt **Never logged in**
'Z\8Xc#~H8a051Testing软件测试网9Ac)U'D1QD]sPd
mail **Never logged in**51Testing软件测试网Y[:T'kg^H
51Testing软件测试网R3KCV,^8h,V]0v"jE9]
news **Never logged in**51Testing软件测试网_5?&ja(JF)p#mx

} [I:e4~yU0uucp **Never logged in**51Testing软件测试网 o D;XF Pu%\H

/ut0U [o0operator **Never logged in**51Testing软件测试网]h Fx'v(d xAM
51Testing软件测试网_hn;II&Y%ho\$x1I
games **Never logged in**51Testing软件测试网0qS/gl'oC

ySs vhj1Ny%`h0gopher **Never logged in**
`T nb3Dd%HgA ~)LX0
-hq{-W5A]9Ru)S U0ftp ftp UNIX Tue Sep 3 14:49:04 +0800 200251Testing软件测试网[5TBz;oP'~%C

&D${cq9e WO0nobody **Never logged in**51Testing软件测试网bP-G Ns/w(`k
51Testing软件测试网q BP2p{6p~^~
nscd **Never logged in**
!f1R~@2a z&N;J051Testing软件测试网2~ f8I OQ
mailnull **Never logged in**51Testing软件测试网:Dn4R2a6c;R w4B

M+C,ZP%q#d @}0ident **Never logged in**51Testing软件测试网M\;C8n&[/A&?*b

%U^r$I3yq0rpc **Never logged in**
9p?waX`;O051Testing软件测试网7b q@'V9A7CY*X
rpcuser **Never logged in**51Testing软件测试网2LlS|/k

m+m3f V,s [N+D5gY_0xfs **Never logged in**51Testing软件测试网q]a%I C$p
51Testing软件测试网{N)b8ym[jR#jM
gdm **Never logged in**51Testing软件测试网'f#F:?LORn2{5~

Hp,OU1iJ1KJ0postgres **Never logged in**51Testing软件测试网ga!Oaiks
51Testing软件测试网R-~SN,}8bqo
apache **Never logged in**
4S kJJ8Cp!K&S0
T2es`qnN0lzy tty2 Mon Jul 15 08:50:37 +0800 200251Testing软件测试网~K:nQ ?+Vh BS

$n$i~)RMC J0suying tty2 Tue Sep 3 08:31:17 +0800 200251Testing软件测试网/E.|Od~K5w6c;V
51Testing软件测试网%p"Q2~ IP,[L
51Testing软件测试网7i MU|e2z~SeR
51Testing软件测试网'B4[#MYrS;n/o?X1o;q
　　系统账户诸如bin、daemon、adm、uucp、mail等决不应该登录，如果发现这些账户已经登录，就说明系统可能已经被入侵了。若发现记录的时间不是用户上次登录的时间，则说明该用户的账户已经泄密了。51Testing软件测试网I,Jy$l9y.f
51Testing软件测试网%A%mo"`.vcs

DH&bOmh DY?0　　/var/log/wtmp51Testing软件测试网{o/w;MD8g U8w

2gd z A3]$B9E051Testing软件测试网?4B9A~d4[
　　该日志文件永久记录每个用户登录、注销及系统的启动、停机的事件。因此随着系统正常运行时间的增加，该文件的大小也会越来越大，增加的速度取决于系统用户登录的次数。该日志文件可以用来查看用户的登录记录，last命令就通过访问这个文件获得这些信息，并以反序从后向前显示用户的登录记录，last也能根据用户、终端 tty或时间显示相应的记录。
U&~3tA v051Testing软件测试网(BK(m.On1V:g9R/j
51Testing软件测试网iz^-E'c
　　命令last有两个可选参数：
T C$H6F(F1wf051Testing软件测试网;uy|1I-Yx^

G.Z_ b&~0　　last -u 用户名 显示用户上次登录的情况。51Testing软件测试网 Rf j)_qd#T.sk7K

5S;X"w4f x4G~d051Testing软件测试网/AL&`c5D
　　last -t 天数 显示指定天数之前的用户登录情况。
|BAEI${9u051Testing软件测试网UQ,J5X0O`2J+]o G]

S9sr ?q._3t0　　/var/run/utmp51Testing软件测试网]B"] jQ`co
51Testing软件测试网&x&f$Hv.w u sD

q%NoK)sQ U XB0　　该日志文件记录有关当前登录的每个用户的信息。因此这个文件会随着用户登录和注销系统而不断变化，它只保留当时联机的用户记录，不会为用户保留永久的记录。系统中需要查询当前用户状态的程序，如 who、w、users、finger等就需要访问这个文件。该日志文件并不能包括所有精确的信息，因为某些突发错误会终止用户登录会话，而系统没有及时更新 utmp记录，因此该日志文件的记录不是百分之百值得信赖的。
}n^!]jC;G0
~M ]T6y'g/_-Rn_0
&L} Zfacf(J)a0　　以上提及的3个文件（/var/log/wtmp、/var/run/utmp、/var/log/lastlog）是日志子系统的关键文件，都记录了用户登录的情况。这些文件的所有记录都包含了时间戳。这些文件是按二进制保存的，故不能用less、cat之类的命令直接查看这些文件，而是需要使用相关命令通过这些文件而查看。其中，utmp和wtmp文件的数据结构是一样的，而lastlog文件则使用另外的数据结构，关于它们的具体的数据结构可以使用man命令查询。
@A]'Z*cL0
c$`(l mB;~[p3e a0
d8GE.Y sX}aL0　　每次有一个用户登录时，login程序在文件lastlog中查看用户的UID。如果存在，则把用户上次登录、注销时间和主机名写到标准输出中，然后 login程序在lastlog中记录新的登录时间，打开utmp文件并插入用户的utmp记录。该记录一直用到用户登录退出时删除。utmp文件被各种命令使用，包括who、w、users和finger。
:eh]~ E?pF7[051Testing软件测试网2@,b'_&r}"KJ
51Testing软件测试网%]ts*s!A!{#w T
　　下一步，login程序打开文件wtmp附加用户的utmp记录。当用户登录退出时，具有更新时间戳的同一utmp记录附加到文件中。wtmp文件被程序last使用。51Testing软件测试网7p;Xo:ctg9{.}(B

\go j ~`)f0
4uK%[$[D K W0　　/var/log/xferlog51Testing软件测试网G'?9SP^aSO Cp

.e2YMd-E$u A0
#\#BEk/Z5K"doZ T gE/I0　　该日志文件记录FTP会话，可以显示出用户向FTP服务器或从服务器拷贝了什么文件。该文件会显示用户拷贝到服务器上的用来入侵服务器的恶意程序，以及该用户拷贝了哪些文件供他使用。
_}5M,O/r0
I;L p#i*} t!h0y051Testing软件测试网4L~*V#EY"pS
　　该文件的格式为：第一个域是日期和时间，第二个域是下载文件所花费的秒数、远程系统名称、文件大小、本地路径名、传输类型（a：ASCII，b：二进制）、与压缩相关的标志或tar，或"_"（如果没有压缩的话）、传输方向（相对于服务器而言：i代表进，o代表出）、访问模式（a：匿名，g：输入口令，r：真实用户）、用户名、服务名（通常是ftp）、认证方法（l：RFC931，或0），认证用户的ID或"*"。下面是该文件的一条记录：
d.|E2i.j E_!?0
f,h,Us TL+|i051Testing软件测试网/g@"_;@*Qg6?Do
QUOTE:51Testing软件测试网BkD3Vd-is]

.\8i2k1QYoXm0
(F QJT*YV2A6w'qX~0Wed Sep 4 08:14:03 2002 1 UNIX 27553151Testing软件测试网f6Bx&Fbrl/L
51Testing软件测试网y(h0o#S#tM3R9j2aL-t,q
/var/ftp/lib/libnss_files-2.2.2.so b _ o a -root@UNIX ftp 0 * c51Testing软件测试网:u;f3V%f5n-v

d q cw Pt6z(zs;d0/var/log/kernlog
#|eO7P!TAj051Testing软件测试网H*Y^6|2x.O
51Testing软件测试网9?T{Qdd7j:n
51Testing软件测试网1m]2^R9{#q/P:T"I
51Testing软件测试网q"gC(vFbKv
　　　RedHat Linux默认没有记录该日志文件。要启用该日志文件，必须在/etc/syslog.conf文件中添加一行：kern.* /var/log/kernlog 。这样就启用了向/var/log/kernlog文件中记录所有内核消息的功能。该文件记录了系统启动时加载设备或使用设备的情况。一般是正常的*作，但如果记录了没有授权的用户进行的这些*作，就要注意，因为有可能这就是恶意用户的行为。下面是该文件的部分内容：
6Aa#GV$BK051Testing软件测试网O rkw$l7j:d

@/WF%f5H`z:N0QUOTE:
h Dhj1X0
fCP YJ6x0Sep 5 09:38:42 UNIX kernel: NET4: Linux TCP/IP 1.0 for NET4.0
|QF;SLn,XP;?:^0
z}0TccU0Sep 5 09:38:42 UNIX kernel: IP Protocols: ICMP, UDP, TCP, IGMP
-V it2G/cFEV G J0
Vfx)eRat-h\0Sep 5 09:38:42 UNIX kernel: IP: routing cache hash table of 512 buckets, 4Kbytes
,A$pj [$M8y0
)BZc3c[0Sep 5 09:38:43 UNIX kernel: TCP: Hash tables configured (established 4096 bind 4096)
A!@"GMB*Yb6~"WR051Testing软件测试网!F-M[S%aLR NK(z
Sep 5 09:38:43 UNIX kernel: Linux IP multicast router 0.06 plus PIM-SM
+f!Z8CB@}%ITpta051Testing软件测试网2Kz$h7f-^6F[@J1@
Sep 5 09:38:43 UNIX kernel: NET4: Unix domain sockets 1.0/SMP for Linux NET4.0.51Testing软件测试网sz vQZ` D
51Testing软件测试网4U O"];z[dc'@7r
Sep 5 09:38:44 UNIX kernel: EXT2-fs warning: checktime reached, running e2fsck is recommended51Testing软件测试网%Mu v!~&yKCs+Y/m

/cHo'?:ny7x0Sep 5 09:38:44 UNIX kernel: VFS: Mounted root (ext2 filesystem).51Testing软件测试网5S;fs6q|B/vD$@

3w)l6e8S:e3G0|1nD1{ B+_0Sep 5 09:38:44 UNIX kernel: SCSI subsystem driver Revision: 1.00
;D8ve?hIw0
^!i$Ud9~3u0/var/log/Xfree86.x.log51Testing软件测试网-PAF wN\ kQ
51Testing软件测试网4_ b!T\#Lm

-f|%i5F.VDL@0
wPU!B,Zl;R&o ^051Testing软件测试网 E g-Q9K*i }(e
　　该日志文件记录了X-Window启动的情况。另外，除了/var/log/外，恶意用户也可能在别的地方留下痕迹，应该注意以下几个地方：root 和其他账户的shell历史文件；用户的各种邮箱，如.sent、mbox，以及存放在/var/spool/mail/ 和 /var/spool/mqueue中的邮箱；临时文件/tmp、/usr/tmp、/var/tmp；隐藏的目录；其他恶意用户创建的文件，通常是以 "."开头的具有隐藏属性的文件等。51Testing软件测试网~*tSd ku
51Testing软件测试网J/bb;oyCrm

J7j5a+]U;q\?'U3j0　　具体命令51Testing软件测试网"t2~+_na

J5Rs+eg c[051Testing软件测试网 By6T"_~,C0R;r8E%R9Z
　　wtmp和utmp文件都是二进制文件，它们不能被诸如tail之类的命令剪贴或合并（使用cat命令）。用户需要使用who、w、users、last和ac等命令来使用这两个文件包含的信息。
(^ C#u L*?3[@051Testing软件测试网$dK#S&l$KA

e0uE uK7}(C0　　who命令
2krW@/Xw\0
7b r9f i!Ul0
.F7cMviL0　　who命令查询utmp文件并报告当前登录的每个用户。who的默认输出包括用户名、终端类型、登录日期及远程主机。例如，键入who命令，然后按回车键，将显示如下内容：
R E:Ap"~$C u*~051Testing软件测试网Kp~ KTXo?!H
51Testing软件测试网L,Vf[T*]4^(l
QUOTE:51Testing软件测试网?K` p r |B:H s

;f0vf%o"} Sf s0chyang pts/0 Aug 18 15:06
KS?'T8j%ma0
u8ZzX0^ T0ynguo pts/2 Aug 18 15:3251Testing软件测试网#F(y r WEYJ
51Testing软件测试网!~8HP.xD"`_PG
ynguo pts/3 Aug 18 13:55
x$Y&lR!T])h-r051Testing软件测试网0N t:gk N N3|2wG f
lewis pts/4 Aug 18 13:35
R Sw&^zi@0
O ng0u]j0ynguo pts/7 Aug 18 14:12
8l Q.T/u ^Qz051Testing软件测试网;[w~V wD@;_,j
ylou pts/8 Aug 18 14:15
m~x9oQ"k051Testing软件测试网4|C0^lMd o R D
51Testing软件测试网t0Rc/jl+?^
　　如果指明了wtmp文件名，则who命令查询所有以前的记录。命令who /var/log/wtmp将报告自从wtmp文件创建或删改以来的每一次登录。
1r.rwr)O&Z051Testing软件测试网N!Vyi/G9n,t

r-uFaB? l?0　　w命令51Testing软件测试网$OMXX"W7w.j ^2Q
51Testing软件测试网~{T9{"O&zScB

9PKZ}~XD U0　　w命令查询utmp文件并显示当前系统中每个用户和它所运行的进程信息。例如，键入w命令，然后按回车键，将显示如下内容：
|0q2FvO |-Y!P6^051Testing软件测试网 T mN:Mj q%r

GIW`oR.@u0QUOTE:51Testing软件测试网*Y\bbU @!Z$t
51Testing软件测试网G$oh#Ohc%[
51Testing软件测试网jO#?pU{5v
3:36pm up 1 day, 22:34, 6 users, load average: 0.23, 0.29, 0.27
9T O,A Vt;Np0
3iC8U(?D'Go^0USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
9\(\*a#ZKR,l0
;uB(u mbDoz t7F0chyang pts/0 202.38.68.242 3:06pm 2:04 0.08s 0.04s -bash51Testing软件测试网8y] E b0C|
51Testing软件测试网jEQ3b%m-R#EP%~
ynguo pts/2 202.38.79.47 3:32pm 0.00s 0.14s 0.05 w
?q NdMU+P#?)BP051Testing软件测试网~L,n3Idb7Xh o`,H
lewis pts/3 202.38.64.233 1:55pm 30:39 0.27s 0.22s -bash51Testing软件测试网3Azvip&f
51Testing软件测试网)NAJWo3}.]G
lewis pts/4 202.38.64.233 1:35pm 6.00s 4.03s 0.01s sh /home/users/51Testing软件测试网Z3uF*Dlc-FH

a7|&zi] x0ynguo pts/7 simba.nic.ustc.e 2:12pm 0.00s 0.47s 0.24s telnet mail51Testing软件测试网 [wV'IiGJ

A0j.t3m z*k;yrdn0ylou pts/8 202.38.64.235 2:15pm 1:09m 0.10s 0.04s -bash51Testing软件测试网q C6h(t)[M"A!~
51Testing软件测试网2C6i(R;Y oZ
　　users命令51Testing软件测试网qS L D RH/c~

0IpLB _0
1l I|+J v Qi'B1@"o0　　users命令用单独的一行打印出当前登录的用户，每个显示的用户名对应一个登录会话。如果一个用户有不止一个登录会话，那他的用户名将显示相同的次数。例如，键入users命令，然后按回车键，将显示如下内容：
r\ R c [051Testing软件测试网$VWo9[^
51Testing软件测试网8YqP7],ru3B | }n
QUOTE:51Testing软件测试网u(o4VIcV-P

9U!E&fbLc d8y0　　chyang lewis lewis ylou ynguo ynguo
.k&l9b*Q)JAx)v-h,}v051Testing软件测试网+A"]T6P]$O_(P,\*d
　　last命令
gn'Cy3}u8R t0
+v(Ifd9xj Z$~fZ051Testing软件测试网 Pov(y&]~"H N
　　last命令往回搜索wtmp来显示自从文件第一次创建以来登录过的用户。例如：51Testing软件测试网nX&yKWh'@;n

q[ S7C!q}(^\0
DK9eAKt-A2q*W0QUOTE:51Testing软件测试网F|-J y-uq

l/I:ohV"|$u0
G:scB$[5D0chyang pts/9 202.38.68.242 Tue Aug 1 08:34 - 11:23 (02:49)
&e1VV H|051Testing软件测试网K Q%|,r#QNG w#`
cfan pts/6 202.38.64.224 Tue Aug 1 08:33 - 08:48 (00:14)51Testing软件测试网Lx @4CR4YA1^!r$g^1f

gG9B%S$eKAp0chyang pts/4 202.38.68.242 Tue Aug 1 08:32 - 12:13 (03:40)51Testing软件测试网A6A(Vz-I|0V

'PS:L*\6V g0lewis pts/3 202.38.64.233 Tue Aug 1 08:06 - 11:09 (03:03)
bKyS WI/@051Testing软件测试网_2N8nlQ
lewis pts/2 202.38.64.233 Tue Aug 1 07:56 - 11:09 (03:12)51Testing软件测试网"NL8pVjhz!`iu{

#|X:\ bf6s:F0
j|gk^"I0　　如果指明了用户，那么last只报告该用户的近期活动，例如，键入last ynguo命令，然后按回车键，将显示如下内容：51Testing软件测试网y4p4S&i} w1M6pNc
51Testing软件测试网/f,~]^-k+?l

@G2iJ&E~mz&Y%E0QUOTE:51Testing软件测试网+W2Y%C(cFrb

7o$}2od3`j8jN0
;@buf z0ynguo pts/4 simba.nic.ustc.e Fri Aug 4 16:50 - 08:20 (15:30)
#H] pq_[N%j051Testing软件测试网1_7a2o'Z Xw
ynguo pts/4 simba.nic.ustc.e Thu Aug 3 23:55 - 04:40 (04:44)51Testing软件测试网H wJ-M!r&i

3{pw,_3y&bH5G0ynguo pts/11 simba.nic.ustc.e Thu Aug 3 20:45 - 22:02 (01:16)51Testing软件测试网r"SbH8`Up0E
51Testing软件测试网c-`Fp.@-w
ynguo pts/0 simba.nic.ustc.e Thu Aug 3 03:17 - 05:42 (02:25)51Testing软件测试网1gm0O)h#Y

+we-@7wx0ynguo pts/0 simba.nic.ustc.e Wed Aug 2 01:04 - 03:16 1+02:12)
J)LvL:I)yW&X0
h}D6J9|S0ynguo pts/0 simba.nic.ustc.e Wed Aug 2 00:43 - 00:54 (00:11)51Testing软件测试网^ELLO0sO6c!ut
51Testing软件测试网 \)B l@c:P4l6jP2K9v
ynguo pts/9 simba.nic.ustc.e Thu Aug 1 20:30 - 21:26 (00:55)51Testing软件测试网7kj0h!y1I7f0C,y-l
51Testing软件测试网[_D'R$by2l-[)h

7E,}"c1w6x0　　ac命令
dd*UL1|9KH V4I^V051Testing软件测试网 Om^"it7GBU

&z*n0S.O,p-_;MYtH D0　　ac命令根据当前的/var/log/wtmp文件中的登录进入和退出来报告用户连接的时间（小时），如果不使用标志，则报告总的时间。例如，键入ac命令，然后按回车键，将显示如下内容：
wK"m:C"y hX-o0
9G(Fj q0XL2H._G051Testing软件测试网)R+sjl)Uk
QUOTE:
g!N1ORP!M0
H6{/|a\Q-Qk0　　total 5177.4751Testing软件测试网1W!f"[?0eH

])AJVb1W-w B0键入ac -d命令，然后按回车键，将显示每天的总的连接时间：
Z2p D8V hj051Testing软件测试网*~.T%doww3T
51Testing软件测试网8fT;x&zU,c;K5`
QUOTE:51Testing软件测试网D l/w)x+`2h4`Q2m4V}i
51Testing软件测试网V$S R'TC

LT S iyI1W0Aug 12 total 261.87
(D0NW#n n k6[2c,D0
h-}X;SnC6v0Aug 13 total 351.39
;u4}V:Jx051Testing软件测试网-UfS9e%W6c.@h _D-j
Aug 14 total 396.0951Testing软件测试网q#NB%xLq9H1U
51Testing软件测试网z-S9H8K[f3{6Ba Fw
Aug 15 total 462.63
)eq h8og'Sh'~n051Testing软件测试网ZIZf u
Aug 16 total 270.4551Testing软件测试网m'P$K3oy7d2s7c
51Testing软件测试网-T6Eqa^
Aug 17 total 104.29
zd3zxO2oD0
k8q0v.m"\:x} L0h0Today total 179.0251Testing软件测试网w@?O x"B0@
51Testing软件测试网as&?|d*W3Gk
51Testing软件测试网"~zq,ls(P2d
　　键入ac -p命令，然后按回车键，将显示每个用户的总的连接时间：
"e8U'fn3pT P0
*i/peh5od p)t1v051Testing软件测试网 }U a!bxK Sd2t
QUOTE:
2TbI PE1G051Testing软件测试网 k2Ix/n#TS h
51Testing软件测试网?8d+n;| H n m
ynguo 193.23
w:d8_CL"RlT051Testing软件测试网A)YZ+is'qLF
yucao 3.3551Testing软件测试网p$wB Uz$I7Xm
51Testing软件测试网y4Z S6I6NNH
rong 133.40
3rsx#fG%Qr051Testing软件测试网/Ur.ln lx^$QV
hdai 10.5251Testing软件测试网3A[!m"u_y6su q%?v

/v#P)`V(`['QR0zjzhu 52.8751Testing软件测试网8`2\7N"t8m5b4F$OT5CX
51Testing软件测试网9co\SU0PK
zqzhou 13.1451Testing软件测试网z1~E j$r`9J A)v
51Testing软件测试网f6@$Wf%n(?7y$hn2P
liangliu 24.34
B0|+W l)w([\mbd:M051Testing软件测试网b4mB;}D9f
total 5178.2451Testing软件测试网)~CZB1vH0PCL'_4D;u

0sO0B*C)EV0
XY Ko.G4k0　　lastlog命令
`S TvBHWl051Testing软件测试网O f'g*_)qM
51Testing软件测试网 N;O;] a+fyi0\!xF
　　lastlog文件在每次有用户登录时被查询。可以使用lastlog命令检查某特定用户上次登录的时间，并格式化输出上次登录日志 /var/log/lastlog的内容。它根据UID排序显示登录名、端口号（tty）和上次登录时间。如果一个用户从未登录过，lastlog显示 **Never logged**。注意需要以root身份运行该命令，例如：
_9nJ-S5@%\(q0

相关回复

fwr(2006-9-13 11:28:56)
rong 5 202.38.64.187 Fri Aug 18 15:57:01 +0800 200051Testing软件测试网Oe.TR*Bw$\,a"e w
51Testing软件测试网9{hk5s^ Y cE3`l L
dbb **Never logged in**51Testing软件测试网6M E3J*n1q0s-y/u@s(N

c#_-|(F{b$T0xinchen **Never logged in**51Testing软件测试网 f-ks(@? _s

o0p eP+dt} JZ6sx:W0pb9511 **Never logged in**
0yB/H8y/HD051Testing软件测试网"s^jAyZ3X7`
xchen 0 202.38.64.190 Sun Aug 13 10:01:22 +0800 200051Testing软件测试网3x2y fOj f
51Testing软件测试网0V ci&CAi O

U2b8WoJ?$h0另外，可加一些参数，例如，"last -u 102"命令将报告UID为102的用户；"last -t 7"命令表示限制为上一周的报告。51Testing软件测试网np!Kc%TA^6G|

,A&[M.o0q[IL"a051Testing软件测试网0CG.PV%~
　　进程统计
7h,b.h?d*ric051Testing软件测试网#g1w CIDH.|'Z&D(R
51Testing软件测试网|!EOFA|1\$r8rg-k2d!M
　　UNIX可以跟踪每个用户运行的每条命令，如果想知道昨晚弄乱了哪些重要的文件，进程统计子系统可以告诉你。它还对跟踪一个侵入者有帮助。与连接时间日志不同，进程统计子系统默认不激活，它必须启动。在Linux系统中启动进程统计使用accton命令，必须用root身份来运行。accton命令的形式为：accton file，file必须事先存在。先使用touch命令创建pacct文件：touch /var/log/pacct，然后运行accton：accton /var/log/pacct。一旦accton被激活，就可以使用lastcomm命令监测系统中任何时候执行的命令。若要关闭统计，可以使用不带任何参数的accton命令。
P9w%bt6s051Testing软件测试网y6U)x.T"ju-c

p1DD1bdY.A0　　lastcomm命令报告以前执行的文件。不带参数时，lastcomm命令显示当前统计文件生命周期内记录的所有命令的有关信息。包括命令名、用户、tty、命令花费的CPU时间和一个时间戳。如果系统有许多用户，输入则可能很长。看下面的例子：
9Fe7VI\&ivE6I0
4\$W;sU6kv ^/v*T051Testing软件测试网,Kg{'te
QUOTE:51Testing软件测试网pIe(Fs,A.EE:B
51Testing软件测试网l v/X.h,N0dK/f6S

4~#U4F`$ei+DY0crond F root ?? 0.00 secs Sun Aug 20 00:16
2O3SVe:RAc C1{J)@051Testing软件测试网$W!` c/s cFy*_i
promisc_check.s S root ?? 0.04 secs Sun Aug 20 00:16
X"ee!p^ b9EEA9J)^A051Testing软件测试网|y)O*E Bk @c e
promisc_check root ?? 0.01 secs Sun Aug 20 00:1651Testing软件测试网5E K8t(@){#z7J7?r
51Testing软件测试网1j#e4gdCK"O
grep root ?? 0.02 secs Sun Aug 20 00:1651Testing软件测试网(R$CM#~w!?g"u

!Lmt;@j4q6T^0tail root ?? 0.01 secs Sun Aug 20 00:16
l%M!@F.Ai-ws d q.~sT0
s]a;we3e0sh root ?? 0.01 secs Sun Aug 20 00:15
I Pl rl+^$tZ&G`0
LE [ y O i-~.b0ping S root ?? 0.01 secs Sun Aug 20 00:1551Testing软件测试网+X2h _ N3T\u.~h

:Bp*J1X(`1n8mV;I0ping6.pl F root ?? 0.01 secs Sun Aug 20 00:15
P fC Om)Y.C051Testing软件测试网;^|Dq'` Rs+wW$`
sh root ?? 0.01 secs Sun Aug 20 00:1551Testing软件测试网~eT IE{6yh
51Testing软件测试网Cp9UL^^"Ah
ping S root ?? 0.02 secs Sun Aug 20 00:1551Testing软件测试网JO[/o1jr$b

0F'^ RB%K aD0ping6.pl F root ?? 0.02 secs Sun Aug 20 00:1551Testing软件测试网z5M7c R^8y

u!RbP&T0sh root ?? 0.02 secs Sun Aug 20 00:1551Testing软件测试网0b a6g8Ar

a}Y`i:F7N0ping S root ?? 0.00 secs Sun Aug 20 00:15
!O8]9Q cIo051Testing软件测试网E3@M F ~b{
ping6.pl F root ?? 0.01 secs Sun Aug 20 00:1551Testing软件测试网4Up[Og{
51Testing软件测试网K4{n(uj
sh root ?? 0.01 secs Sun Aug 20 00:1551Testing软件测试网/O Jqus ~
51Testing软件测试网w+`6GayC
ping S root ?? 0.01 secs Sun Aug 20 00:1551Testing软件测试网U[*k1S9f%h
51Testing软件测试网U'p1}Ay)njo2t9xQ
sh root ?? 0.02 secs Sun Aug 20 00:15
*p Sg%U,L7I u-d I-Ug051Testing软件测试网Zl zd B_
ping S root ?? 1.34 secs Sun Aug 20 00:1551Testing软件测试网dz_tq.Q6ns

4i x ~vw2tQ9u ?0locate root ttyp0 1.34 secs Sun Aug 20 00:1551Testing软件测试网$_0a5fz _-a\C
51Testing软件测试网/a?k4W dL.Qm
accton S root ttyp0 0.00 secs Sun Aug 20 00:1551Testing软件测试网7r!`0E @5yN`2d b
51Testing软件测试网UFw](co:R'f

:[:CK&hL}g [){ ?;?k%}0　　进程统计的一个问题是pacct文件可能增长得十分迅速。这时需要交互式地或经过cron机制运行sa命令来保证日志数据在系统控制内。sa命令报告、清理并维护进程统计文件。它能把/var/log/pacct中的信息压缩到摘要文件/var/log/savacct和 /var/log/usracct中。这些摘要包含按命令名和用户名分类的系统统计数据。在默认情况下sa先读它们，然后读pacct文件，使报告能包含所有的可用信息。sa的输出有下面一些标记项。51Testing软件测试网M Ij*_-rI*E }w[

#P O(Hk-Oz.V051Testing软件测试网:C/v^C#GjR lE

fC*z.Q rz0avio：每次执行的平均I/O*作次数。
CM[ `:hB0
6q7C'c*JU5S.@051Testing软件测试网3z5}Y1{7h Y[d&H
cp：用户和系统时间总和，以分钟计。
j5A5qV*w M*@0
o%c9^N[ l(x3HY0
Mv wJ'f`P'N"f&r0cpu：和cp一样。51Testing软件测试网'eHR\ zio(@"}Qs

?LIiV?bs051Testing软件测试网mL#{I{U8~7L d U
k：内核使用的平均CPU时间，以1k为单位。51Testing软件测试网)l-`6l1vMCr%^

l/m v*ai7F M051Testing软件测试网n"oXCn/}
k*sec：CPU存储完整性，以1k-core秒为单位。
4lLT&Hb6@0a5I|051Testing软件测试网S5u `~}/R[Wz

/V.Z+KY"cY0re：实时时间，以分钟计。51Testing软件测试网'E3hU/HB&a [
51Testing软件测试网*m._q$^` x
51Testing软件测试网xq3~^6dB
s：系统时间，以分钟计。
4pXX [*X,V jQ0
(o?~-mbV051Testing软件测试网)d9x eVZ%iaN4@
tio：I/O*作的总数。
K-T#F-~b V5A7po'L051Testing软件测试网-@0N T~s%["w v

t^1df[ _*B0u：用户时间，以分钟计。
6?$qn,Q m Lr051Testing软件测试网Xcf n2qP%[
51Testing软件测试网`7Hzrp
例如：51Testing软件测试网G[dz.f

off'A s~ o+}051Testing软件测试网1iD+Ur)s n l
QUOTE:
D^YR{051Testing软件测试网D.Y#_f*Q5|

Oe EHz9a0842 173.26re 4.30cp 0avio 358k51Testing软件测试网zL ]-_d
51Testing软件测试网v^/o9sRG@X,em
2 10.98re 4.06cp 0avio 299k find
3Q4Pk9gCjm051Testing软件测试网E4HU(Pqx!e tG
9 24.80re 0.05cp 0avio 291k ***other
6v ?9PPCu-g5K051Testing软件测试网:o6K9JxK [H!~W ?-Y*e
105 30.44re 0.03cp 0avio 302k ping51Testing软件测试网%Z9D@I jJ
51Testing软件测试网y3|1LL0rrF
104 30.55re 0.03cp 0avio 394k sh51Testing软件测试网8w.S2ZOY8e#K

UWO!_9qzG3VA j0162 0.11re 0.03cp 0avio 413k security.sh*
vL9qMW9D0
mZU%B;M;s8[0154 0.03re 0.02cp 0avio 273k ls51Testing软件测试网8V q:X pL5@

2T{*Yp_u#GF056 31.61re 0.02cp 0avio 823k ping6.pl*51Testing软件测试网 H+{$X"i \V

-s&]G3Z,t.~s ~T i02 3.23re 0.02cp 0avio 822k ping6.pl51Testing软件测试网2d']!i-I'f]7X

B}1f(@K035 0.02re 0.01cp 0avio 257k md5sum
!cv2i3x p051Testing软件测试网l5T7[hX2a*N5r,?E5oB$`g
97 0.02re 0.01cp 0avio 263k initlog
:j)yQ8U;YEiE:I0
!UF0J]bS012 0.19re 0.01cp 0avio 399k promisc_check.s
1@1^ f,j%w}6|f5f051Testing软件测试网]N+kq5D1i
15 0.09re 0.00cp 0avio 288k grep
Z_ cI xE0
uHtBt{A011 0.08re 0.00cp 0avio 332k awk
/X(Cq}(s5ZonZS0
t#X0dxN0
0K}!U3Y C6~0用户还可以根据用户而不是命令来提供一个摘要报告。例如，键入命令"sa -m"，将显示如下内容：51Testing软件测试网P0QW1j:p9Y-P

m vFEE6fnH051Testing软件测试网:^2J1RG RxLL}3L
QUOTE:51Testing软件测试网${.u/gn0x m G

&E\1} s}(s5y051Testing软件测试网6@@7H1XO(e
885 173.28re 4.31cp 0avk
h4@8w3`&[Kuz7m5P051Testing软件测试网0P;Q}Ib x
root 879 173.23re 4.31cp 0avk51Testing软件测试网|n ^Pt{@1P$[
51Testing软件测试网4yr5Ws9P1uef[
alias 3 0.05re 0.00cp 0avk51Testing软件测试网b IOvjZ9Bgb

mBBvO7EW#E0qmailp 3 0.01re 0.00cp 0avk
2?(AQswz jn051Testing软件测试网Mw-Ddv TQa N,V

#hA@(}w\y0　　syslog设备
~u;U~r%^rJ0
S*r)l7p8z Y!J0
NSF7m?k c/G0　　syslog已被许多日志函数采纳，它用在许多保护措施中。任何程序都可以通过syslog 记录事件。syslog可以记录系统事件，可以写到一个文件或设备中，或给用户发送一个信息。它能记录本地事件或通过网络记录另一个主机上的事件。
+O/c2fl&F(L051Testing软件测试网)KyP6Y&L&O`$_p3|

}oL0? `)l%L,L L0　　syslog设备依据两个重要的文件：/etc/syslogd（守护进程）和/etc/syslog.conf配置文件。习惯上，多数syslog 信息被写到/var/adm或/var/log目录下的信息文件中（messages.*）。一个典型的syslog记录包括生成程序的名字和一个文本信息。它还包括一个设备和一个优先级范围（但不在日志中出现）。
q h%m3TZz-V0
[;t k/o l;[ Vv051Testing软件测试网Th!K N\$b+O
每个syslog消息被赋予下面的主要设备之一：
+`?)M5_iQ"P051Testing软件测试网"LTVn5bvL
51Testing软件测试网W9dr`4P|K
QUOTE:51Testing软件测试网bE&b9Kq3aC
51Testing软件测试网$zsoT#^F

B{8n.\P?JFD0LOG_AUTH：认证系统login、su、getty等。51Testing软件测试网 O `!A'K$V!U

7q t-}_+@"]3Z0LOG_AUTHPRIV：同LOG_AUTH，但只登录到所选择的单个用户可读的文件中。51Testing软件测试网VcjJ-R-Dz

Jx,h~]-xE0LOG_CRON：cron守护进程。51Testing软件测试网Qh%u-l-Ge*T9{

i0T E&x a1iSUO'L1\0LOG_DAEMON：其他系统守护进程，如routed。51Testing软件测试网2b;e8f,alI&S"a
51Testing软件测试网!e\mEYn E;I}9i5x
LOG_FTP：文件传输协议ftpd、tftpd。51Testing软件测试网&x;C QF@I"G
51Testing软件测试网F3? Iz[8VYpS
LOG_KERN：内核产生的消息。
W-T9C6hN`0
'bO,o-EZ0LOG_LPR：系统打印机缓冲池lpr、lpd。
OB1yl$|YA&C c'E k051Testing软件测试网HO"C1Q8bE ofQ
LOG_MAIL：电子邮件系统。
rY yq`$z ot#x0
7S8pPl&vnk2K0LOG_NEWS：网络新闻系统。
8]yt$A,x/~{V0
7P.nw,Y z n0LOG_SYSLOG：由syslogd（8）产生的内部消息。51Testing软件测试网 qj H%\} ZW
51Testing软件测试网#pk3g*nS\o s+ED
LOG_USER：随机用户进程产生的消息。
0~:c Yu,S6T051Testing软件测试网Y e7n,LR@k,oA
LOG_UUCP：UUCP子系统。
;m"it(jNi }k;H.S051Testing软件测试网r"y"w%Ml#Q g)?Y
LOG_LOCAL0~LOG_LOCAL7：为本地使用保留。
.\`*F'GP{kG.jR0
)ehua_^#o:H0syslog为每个事件赋予几个不同的优先级：
uO2IIE051Testing软件测试网B|z3xe#mhZy i#i
LOG_EMERG：紧急情况。51Testing软件测试网T{L1I#z6s

(A\8n^swRL0LOG_ALERT：应该被立即改正的问题，如系统数据库被破坏。51Testing软件测试网r4d%S8V'mUfs`x
51Testing软件测试网G_ I_} G dB
LOG_CRIT：重要情况，如硬盘错误。
([;f2Q#Lv0
;IW3S9O Vb ?0LOG_ERR：错误。
gfju&x [%T&s051Testing软件测试网Gl~v)B
LOG_WARNING：警告信息。
CClM o-d$^:y v wA*p0
'T {!g)ZKT ED&q0LOG_NOTICE：不是错误情况，但是可能需要处理。
9zZx/Kd&Yl~0
p0|:v M(Za4xT}0LOG_INFO：情报信息。
;Hf.hR:R,P0
3gI-}5k\}lU%v0LOG_DEBUG：包含情报的信息，通常只在调试一个程序时使用。51Testing软件测试网!pn&P:h4N M/uK6l
51Testing软件测试网z9{'l/~~'z1vM(dT

o\qr7E(z/]N;L0　　syslog.conf文件指明syslogd程序记录日志的行为，该程序在启动时查询配置文件。该文件由不同程序或消息分类的单个条目组成，每个占一行。对每类消息提供一个选择域和一个动作域。这些域由tab符隔开：选择域指明消息的类型和优先级；动作域指明syslogd接收到一个与选择标准相匹配的消息时所执行的动作。每个选项是由设备和优先级组成的。当指明一个优先级时，syslogd将记录一个拥有相同或更高优先级的消息。所以如果指明 "crit"，那所有标为crit、alert和emerg的消息将被记录。每行的行动域指明当选择域选择了一个给定消息后应该把它发送到哪儿。例如，如果想把所有邮件消息记录到一个文件中，如下所示：
zz.Lbo}2Q(@0
g J&Hn-l H0
9Xq*X k A$@3jZn0QUOTE:
wNCWM+H6d051Testing软件测试网'{wWP8CZt)]?
51Testing软件测试网Y:X*?S `)F @
#Log all the mail messages in one place
/q$h6^Ix ^R"\9A0
kH*B(fA0
;T y3L0ZxAS0
uIi |0aBO0mail.* /var/log/maillog51Testing软件测试网yUt;R9{0zc

WRmz oke s0
it.` M2n;{5pz051Testing软件测试网ay)pOI7J

t_7k^6E/J0　　其他设备也有自己的日志。UUCP和news设备能产生许多外部消息。它把这些消息存到自己的日志（/var/log/spooler）中并把级别限为"err"或更高。例如：51Testing软件测试网M J3pjp&S

8L|-j my+c051Testing软件测试网)v&@2|g4M;|
QUOTE:
ed&{`Bc_9bb)f0
X5y i1Xh8d@w2e051Testing软件测试网3MUt6Tmma
# Save mail and news errors of level err and higher in aspecial file.51Testing软件测试网i BLt&sa

2~ H*w2]@xY0uucp,news.crit /var/log/spooler
-f E9c nx;ct|0
._k6F0G)J!g _}0
_._Q7U}0　　当一个紧急消息到来时，可能想让所有的用户都得到，也可能想让自己的日志接收并保存：51Testing软件测试网oT+p%w3}!EC \ u6b
51Testing软件测试网#eUnCt o
51Testing软件测试网}E0?g B zV8wU
QUOTE:
:D.CjWg1Iz051Testing软件测试网 ]aj D pP#S
51Testing软件测试网$p!W;^@yO m
#Everybody gets emergency messages， plus log them on anther machine
7V+[8V$E`(H5~9S051Testing软件测试网3n]%g$lVi a
*.emerg *51Testing软件测试网B(mna"yM^+T {;y*@
51Testing软件测试网F E)AVR r7NyX
*.emerg @linuxaid.com.cn51Testing软件测试网jS@'Tp \&Om

PcxT`s9~X1O0　　alert消息应该写到root和tiger的个人账号中：51Testing软件测试网d7hXkK|9[7O
51Testing软件测试网C g*I6bxu(Io

s0~yVN4^?5f;X0QUOTE:51Testing软件测试网?/Y;^,b|

? ] aB{'Nc0T051Testing软件测试网0C_W:^R X A-X
#Root and Tiger get alert and higher messages51Testing软件测试网 `#[|I_$q4__Nx

n/V$}i9K"y,v0*.alert root,tiger51Testing软件测试网+B8d\l(QjVC4c

M{V9Ttt0　　有时syslogd将产生大量的消息。例如，内核（"kernel"设备）可能很冗长。用户可能想把内核消息记录到/dev/console中。下面的例子表明内核日志记录被注释掉了：
:PyH)V$oMi]0
1bL4J2tMi+}z G0
b gaq d [0QUOTE:
i'P ['Nxn3}0
c8U2~:Bl,BE M,u0
eK$^8E^o&M0#Log all kernel messages to the console51Testing软件测试网?s cr3Z&G-w0Sa

],W{6g'L~`0#Logging much else clutters up the screen51Testing软件测试网P l3o'Tzs(TS|
51Testing软件测试网m d7G#FuI
#kern.* /dev/console51Testing软件测试网zZB%JY*T

3i)WYo X9Z A,C0　　用户可以在一行中指明所有的设备。下面的例子把info或更高级别的消息送到/var/log/messages，除了mail以外。级别"none"禁止一个设备：
2hSq(|Hb;X1wk051Testing软件测试网7A"d];_8]Kq3~.PG!j
51Testing软件测试网;W/A5g;vbn
QUOTE:51Testing软件测试网~a3vkbsp&zJp

3H \'jUt051Testing软件测试网L?V2AW2n`"ypca&F
#Log anything（except mail）of level info or higher51Testing软件测试网I`0h8v7\)j

:s:yk Ut pC8i,^0#Don't log private authentication messages!51Testing软件测试网&_ Q0Un(r7f&o#V^u
51Testing软件测试网 Mu.v9sI&To@H
*.info:mail.none;authpriv.none /var/log/messages51Testing软件测试网.aj+\I n(k*`B
51Testing软件测试网]N/ka+CU| GXq*t
51Testing软件测试网C H gA PQb5feZ\
　　在有些情况下，可以把日志送到打印机，这样网络入侵者怎么修改日志就都没有用了。通常要广泛记录日志。syslog设备是一个攻击者的显著目标。一个为其他主机维护日志的系统对于防范服务器攻击特别脆弱，因此要特别注意。
sbz!m"T7PA LG051Testing软件测试网&@1l1UZrU!\ AO
51Testing软件测试网(AK,x7mn x3F/KH g
有个小命令logger为syslog（3）系统日志文件提供一个shell命令接口，使用户能创建日志文件中的条目。
8Jh*t6Osq0
S0~LP3HT&B.Zb051Testing软件测试网`!T p M[0\

y:~&P-U otw!M0　　用法：logger　51Testing软件测试网)^ \'e&M4k
51Testing软件测试网 KW_yU@jS0F
　　例如：logger This is a test！51Testing软件测试网 `%} m8Xmfs3r"RM
51Testing软件测试网4@lo&o:Rk
　　它将产生一个如下的syslog记录：Aug 19 22:22:34 tiger: This is a test!51Testing软件测试网yS4k-wl_
51Testing软件测试网'?8`Q){pu,O
　　注意，不要完全相信日志，因为攻击者很容易修改它的。
3WMO3Flb)^051Testing软件测试网a7Rc2`G z5d&iu8}M
　　程序日志与其他51Testing软件测试网_4m N7K} ~$m
　　许多程序通过维护日志来反映系统的安全状态。su命令允许用户获得另一个用户的权限，所以它的安全很重要，它的日志文件为sulog。同样的还有 sudolog。另外，像Apache有两个日志：access_log和error_log。还有一些常用到的其他日志工具，我们就不一一阐述了，有兴趣的读者可以参考下边网址的内容。
0G&x4g"a+R5|$~V)t0QUOTE:51Testing软件测试网[4QB-O+E/{ u
Chklastlog：51Testing软件测试网FR:zWOVc ]
ftp://coast.cs.purdue.edu/pub/tools/unix/chklastlog/
9u:} rmFW`d9d8^*g0chkwtmp：51Testing软件测试网i6L"c4{gc
ftp://coast.cs.purdue.edu/pub/tools/unix/chkwtmp/
'E9F5f Tj sGS d$A0dump_lastlog：
'`&i3? ^9x4o0sP0ftp://coast.cs.purdue.edu/pub/tools/unix/dump_lastlog.Z
~3k#J+u [%O0spar：51Testing软件测试网NS Sp:f3`gp6{
ftp://coast.cs.purdue.edu/pub/tools/unix/TAMU/51Testing软件测试网g&mi/S0w0ve
Swatch：
Hcoq2HQt3d;o0http://www.lomar.org/komar/alek/pres/swatch/cover.html51Testing软件测试网[pFe7]
Zap：51Testing软件测试网QS'_,F8B/gw/U8O
ftp://caost.cs.purdue.edu/pub/tools/unix/zap.tar.gz

u#[j y1n,y0Q)c-V0 

收藏 举报

TAG: linux

 

评分：0

我来说两句

日历

« 2024-03-28  
日 一 二 三 四 五 六
     12
3456789
10111213141516
17181920212223
24252627282930
31      

数据统计

  • 访问量: 40297
  • 日志数: 50
  • 建立时间: 2006-12-25
  • 更新时间: 2007-02-06

RSS订阅

Open Toolbar