细述！！Linux 文件系统 与日志分析_查找资料,分析使用日志的重要性。叙述 linux 操作系统中各种日志的功能。

一、深入理解 Linux 文件系统

• 熟悉 Linux 系统中常见的日志文件，了解一般故障的分析与解决办法，将有助于管理员快速定位故障点、“对症下药”、并及时解决各种系统问题。另外， Linux 系统中通过分区、格式化来创建文件系统，而文件系统的运行又与 block 和 inode 有关。
• 下面来深入地了解 Linux 系统的文件系统和日志文件分析，并通过一些实例介绍常见系统故障的分析与排除过程。由于故障现象的不确定性，在进行一些模拟故障的操作之前，一 定要提前做好数据备份。

1、inode 与 block 详解

操作系统的文件数据除了实际内容之外，通常含有非常多的属性，例如 Linux 操作系统的文件权限（rwx）与文件属性（所有者、群组、时间参数等）。文件系统通常会将这两部分内容分别存放在 inode 和 block 中。

1.1)inode 和 block 概述

• 文件是存储在硬盘上的，硬盘的最小存储单位叫做“扇区”（sector），每个扇区存储 512字节。
• 操作系统读取硬盘的时候，不会一个个扇区地读取，这样效率太低，而是一次性连续读取多个扇区，即一次性读取一个"块"（block）。这种由多个扇区组成的"块"，是文件存取的最小单位。
• "块"的大小，最常见的是 4KB，即连续八个 sector 组成一个 block。
• 文件数据存储在“块”中，那么还必须找到一个地方存储文件的元信息，比如文件的创建者、文件的创建日期、文件的大小等等。
• 这种存储文件元信息的区域就叫做 inode，中文译名为“索引节点”，也叫 i 节点。因此，一个文件必须占用一个 inode，但至少占用一个 block，

1.2)inode 的内容

inode 包含很多的文件元信息，但不包含文件名，例如：

• 文件的字节数
• 文件拥有者的 UserID
• 文件的 GroupID
• 文件的读、写、执行权限
• 文件的时间戳
• …等

使用stat命令可以查看i节点信息

格式：stat 文件名

[root@localhost ~]#  stat anaconda-ks.cfg
  File: ‘anaconda-ks.cfg’
  Size: 2055      	Blocks: 8          IO Block: 4096   regular file
Device: fd00h/64768d	Inode: 268622926   Links: 1
Access: (0600/-rw-------)  Uid: (    0/    root)   Gid: (    0/    root)
Context: system_u:object_r:admin_home_t:s0
Access: 2020-10-14 06:28:47.431000204 +0800
Modify: 2020-10-14 04:20:07.194169820 +0800
Change: 2020-10-14 04:20:07.194169820 +0800
 Birth: -
 
[root@localhost ~]# stat 1.txt 
  File: ‘1.txt’
  Size: 166       	Blocks: 8          IO Block: 4096   regular file
Device: fd00h/64768d	Inode: 275808756   Links: 1
Access: (0644/-rw-r--r--)  Uid: (    0/    root)   Gid: (    0/    root)
Context: unconfined_u:object_r:admin_home_t:s0
Access: 2020-10-16 08:15:30.559079990 +0800
Modify: 2020-10-16 08:15:29.286079963 +0800
Change: 2020-10-16 08:15:29.286079963 +0800
 Birth: -

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22

Linux 系统文件有三个主要的时间属性，分别是ctime(change time), atime(access time), mtime(modify time)。

• ctime(change time) 是最后一次改变文件或目录（属性）的时间，例如执行 chmod， chown 等命令；
• atime(access time)是最后一次访问文件或目录的时间；
• mtime(modify time)是最后一次修改文件或目录（内容）的时间。

• 在Linux系统中一切皆文件，目录也是一种文件
• 每个 inode 都有一个号码，操作系统用 inode 号码来识别不同的文件
• Linux 系统内部不使用文件名，而使用 inode 号码来识别文件。对于用户来说，文件名只是 inode 号码便于识别的别称。

1.3)inode 的号码

用户在访问文件时，表面上是用户通过文件名来打开文件，而实际系统内部的过程分成 以下三步：

1. 系统找到这个文件名对应的 inode 号码；
2. 通过 inode 号码，获取 inode 信息；
3. 根据 inode 信息，找到文件数据所在的 block，并读出数据。常见的查看 inode 号码的方式有两种：
4. ls -i 命令：直接查看文件名所对应的 inode 号码；
5. stat 命令：通过查看文件 inode 信息而查看到 inode 号码。

[root@localhost ~]# ls -i  ##查看当前位置文件对应的i节点号
275808756 1.txt                      75343 Downloads                  275510632 mysql.sh
275808759 2.txt                  268746645 httpd-2.4.29.tar.bz2       268872132 php-7.1.10.tar.bz2
268622926 anaconda-ks.cfg        275809029 http.sh                    275809024 php.sh
268872129 apr-1.6.2.tar.gz       268746634 initial-setup-ks.cfg       134263659 Pictures
268622931 apr-util-1.6.0.tar.gz      75344 Music                      270993751 Public
409714608 backup                 275809032 mysqla                     268622936 smb.sh
404444892 Desktop                268872131 mysql-boost-5.7.20.tar.gz  134263658 Templates
404444898 Documents              275809025 mysqle                     270993752 Videos
1
2
3
4
5
6
7
8
9

当用户在 Linux 系统中试图访问一个文件时，系统会先根据文件名去查找它对应的 inode，看该用户是否具有访问这个文件的权限。如果有，就指向相对应的数据 block， 如果没有，就返回 Permission denied。

1.4) inode 的大小

• inode 也会消耗硬盘空间，所以格式化的时候，操作系统自动将硬盘分成两个区域。
• 一个是数据区，存放文件数据；另一个是 inode 区，存放 inode 所包含的信息。
• 每个 inode 的大小，一般是 128 字节或 256 字节。
• 通常情况下不需要关注单个 inode 的大小，而是需要重点关注 inode 总数。
• inode 的总数在格式化时就给定了，执行“df -i”命令即可查看每个硬盘分区对应的的 inode 总数和已经使用的 inode 数量

[root@localhost ~]# df -i  ##查看i节点使用情况
Filesystem                Inodes  IUsed    IFree IUse% Mounted on
/dev/mapper/centos-root 95942656 241275 95701381    1% /
devtmpfs                  478413    391   478022    1% /dev
tmpfs                     482689      1   482688    1% /dev/shm
tmpfs                     482689   1394   481295    1% /run
tmpfs                     482689     16   482673    1% /sys/fs/cgroup
/dev/sr0                       0      0        0     - /mnt
/dev/sda1                 524288    341   523947    1% /boot
tmpfs                     482689      9   482680    1% /run/user/42
tmpfs                     482689      1   482688    1% /run/user/0
1
2
3
4
5
6
7
8
9
10
11

inode 号码与文件名分离，导致一些 Unix/Linux 系统具备以下几种特有的现象。

• 文件名包含特殊字符，可能无法正常删除。这时直接删除 inode，能够起到删除文件的作用；
• 移动文件或重命名文件，只是改变文件名，不影响 inode 号码；
• 打开一个文件以后，系统就以 inode 号码来识别这个文件，不再考虑文件名。

这种情况使得软件更新变得简单，可以在不关闭软件的情况下进行更新，不需要重启。 因为系统通过 inode 号码，识别运行中的文件，不通过文件名。更新的时候，新版文件以同样的文件名，生成一个新的 inode，不会影响到运行中的文件。等到下一次运行这个软件的时候，文件名就自动指向新版文件，旧版文件的 inode 则被回收。

2、硬链接与软链接

在 Linux 系统下的链接文件有两种：

• 软链接：类似于 Windows 的快捷方式功能的文件，可以快速连接到目标文件或目录。
• 硬链接：通过文件系统的 inode 链接来产生的新文件名，而不是产生新文件，。

2.1）硬链接

一般情况下，文件名和 inode 号码是一一对应关系，每个 inode 号码对应一个文件名。但是 Linux 系统允许多个文件名指向同一个 inode 号码。这意味着，可以用不同的文件名访问同样的内容。ln 命令可以创建硬链接

格式：ln 源文件 目标

[root@localhost ~]# cat abc
is me
[root@localhost ~]# ln abc bcd   ##创建硬链接
[root@localhost ~]# cat bcd
is me

[root@localhost ~]# ls -i abc bcd     ##两个文件索引inode相同
275506682 abc  275506682 bcd

[root@localhost ~]# rm -rf abc    ##删除源文件
[root@localhost ~]# cat bcd    ##硬链接文件不受影响
is me

1
2
3
4
5
6
7
8
9
10
11
12
13

建立硬链接，源文件与目标文件的 inode 号码相同，都指向同一个 inode。inode信息中的“链接数”这时就会增加 1

[root@localhost ~]# stat abc   ##查看abc文件的i节点
  File: ‘abc’
  Size: 6         	Blocks: 8          IO Block: 4096   regular file
Device: fd00h/64768d	Inode: 275506682   Links: 2                     ##建立了硬链接会显示2
Access: (0644/-rw-r--r--)  Uid: (    0/    root)   Gid: (    0/    root)

1
2
3
4
5
6

2.2）软链接

• 软链接就是再创建一个独立的文件，而这个文件会让数据的读取指向它连接的那个文件 的文件名。
• 例如，文件 A 和文件 B 的 inode 号码虽然不一样，但是文件 A 的，内容是文件B 的路径。读取文件 A 时，系统会自动将访问者导向文件 B。这时，文件 A 就称为文件 B 的“软链接”（soft link）或者“符号链接（symbolic link）。
• 文件 A 依赖于文件 B 而存在，如果删除了文件 B，打开文件 A 就会报错。这是软链接与硬链接最大的不同：文件 A 指向文件 B 的文件名，而不是文件 B 的 inode 号码，文件 B 的 inode“链接数”不会因此发生变化。

格式 :ln -s 源文件或目录 目标文件或目录

3、EXT 类型文件恢复

删除一个文件，实际上并不清除 inode 节点和 block 的数据，只是在这个文件的父目录里面的 block 中，删除这个文件的名字。Linux 是通过 Link 的数量来控制文件删除的，只有当一个文件不存在任何 Link 的时候，这个文件才会被删除。

• 针对 Linux 下的 EXT 文件系统，可用的恢复工具有 debugfs、ext3grep、extundelete 等。
• 其中 extundelete 是一个开源的 Linux 数据恢复工具，支持 ext3、ext4 文件系统。

注意：在数据被误删除后，第一时间要做的就是卸载被删除数据所在的分区，如果是根分区的 数据遭到误删，就需要将系统进入单用户模式，并且将根分区以只读模式挂载。这样做的原 因很简单，因为将文件删除后，仅仅是将文件的 inode 节点中的扇区指针清零，实际文件还存储在磁盘上，如果磁盘继续以读写模式挂载，这些已删除的文件的数据块就可能被操作系统重新分配出去，在这些数据库被新的数据覆盖后，这些数据就真的丢失了，恢复工具也回 天无力。所以以只读模式挂载磁盘可以尽量降低数据库中数据被覆盖的风险，以提高恢复数 据成功的比例。

示例

3.1）编译安装 extundelete

• 在编译安装extundelete 之前需要先安装两个依赖包e2fsprogs-libs 和e2fsprogs-devel（在系统安装光盘的/Package 目录下就有，使用 rpm 或 yum 命令将其安装）
• e2fsprogs-devel 安装依赖于 libcom_err-devel 包。
• http://nchc.dl.sourceforge.net/project/extundelete/extundelete/0.2.4/extundelete-0.2.4.tar. bz2下载安装包网址

[root@localhost ~]#  yum -y install e2fsprogs-devel e2fsprogs-libs
[root@localhost ~]# wget http://nchc.dl.sourceforge.net/project/extundelete/extundelete/0.2.4/extundelete-0.2.4.tar. bz2
[root@localhost ~]# tar -xf extundelete-0.2.4.tar.bz2
[root@localhost ~]# cd extundelete-0.2.4
[root@localhost extundelete-0.2.4]# ./configure --prefix=/usr/local/extundelete&& make && make install
[root@localhost extundelete-0.2.4]# ln -s /usr/local/extundelete/bin/* /usr/bin/  ## 优化路径
1
2
3
4
5
6

3.2）模拟删除并执行恢复操作

（1）使用 fdisk 命令创建新分区，将其挂载到/tmp 目录下，往该目录下新建一些文件或目录。

[root@localhost ~]# fdisk -l
......	//省略部分内容
Disk /dev/sdb: 21.5 GB, 21474836480 bytes, 41943040 sectors Units = sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes I/O size (minimum/optimal): 512 bytes / 512 bytes
......	//省略部分内容[root@localhost ~]# fdisk /dev/sdb
......	//省略部分内容Command (m for help): n Partition type:
p	primary (0 primary, 0 extended, 4 free) e	extended
Select (default p): p
Partition number (1-4, default 1):
First sector (2048-41943039, default 2048):
Using default value 2048
Last sector, +sectors or +size{K,M,G} (2048-41943039, default 41943039): Using default value 41943039
Partition 1 of type Linux and of size 20 GiB is set Command (m for help): p
Disk /dev/sdb: 21.5 GB, 21474836480 bytes, 41943040 sectors Units = sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes I/O size (minimum/optimal): 512 bytes / 512 bytes Disk label type: dos
Disk identifier: 0x30e29e0f

Device Boot	Start	End	Blocks	Id System
/dev/sdb1	2048	41943039	20970496	83 Linux
Command (m for help): w
The partition table has been altered! Calling ioctl() to re-read partition table. Syncing disks.
[root@localhost ~]# partprobe /dev/sdb [root@localhost ~]# mkfs.ext3 /dev/sdb1 mke2fs 1.42.9 (28-Dec-2013)
Filesystem label= OS type: Linux
Block size=4096 (log=2)

......	//省略部分内容Allocating group tables: done Writing inode tables: done
Creating journal (32768 blocks): done
Writing superblocks and filesystem accounting information: done [root@localhost ~]# mkdir /test/
[root@localhost ~]# mount /dev/sdb1 /test/ [root@localhost ~]# cd /test/ [root@localhost test]# echo a>a [root@localhost test]# echo a>b [root@localhost test]# echo a>c [root@localhost test]# echo a>d [root@localhost test]# ls
a    b    c    d  lost+found
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30

• 执行完命令‘extundelete /dev/sdb1”后输入”y“即可查看该文件系统的使用情况。
• 或者使用“extundelete /dev/sdb1 --inode 2”查看文件系统/dev/sdb1 下存在哪些文件， 具体的使用情况。其中–inode 2 代表从 i 节点为 2 的文件开始查看，一般文件系统格式化挂载之后，i 节点是从 2 开始的，2 代表该文件系统最开始的目录。

（2）模拟误操作并恢复

删除/tmp/下的 a 文件和 b 文件，当出现误操作时，立刻卸载该文件系统，然后使用“extundelete /dev/sdb1 --restore-all"恢复/dev/sdb1 文件系统下的所有内容

[root@localhost test]# rm -rf a b
[root@localhost test]# ls c d lost+found [root@localhost test]# cd
[root@localhost ~]# umount /test/
[root@localhost ~]# extundelete /dev/sdb1 --restore-all
NOTICE: Extended attributes are not restored. Loading filesystem metadata ... 160 groups loaded. Loading journal descriptors ... 26 descriptors loaded. Searching for recoverable inodes in directory / ...
2 recoverable inodes found.
Looking through the directory structure for deleted files ...

0 recoverable inodes still lost.
1
2
3
4
5
6
7
8
9
10

数据恢复后，会在当前目录下会出现一个/RECOVERED_FILES/目录，里面保 存了已经恢复的文件。

[root@localhost ~]# ls
anaconda-ks.cfg extundelete-0.2.4 extundelete-0.2.4.tar.bz2 RECOVERED_FILES [root@localhost ~]# cd RECOVERED_FILES/
[root@localhost RECOVERED_FILES]# ls
a b
1
2
3
4

4、xfs 类型文件备份和恢复

针对 xfs 文件系统目前也没有比较成熟的文件恢复工具，所以建议提前做好数据备份，以避免数据丢失。xfs 类型的文件可使用 xfsdump 与 xfsrestore 工具进行备份恢复

• xfsdump 按照inode 顺序备份一个 xfs 文件系统。
• xfsdump 的备份级别有两种：0 表示完全备份；1-9 表示增量备份。
• xfsdump 的备份级别默认为 0

命令格式为：xfsdump -f 备份存放位置

常用的备份参数包括以下几种：

1. 首先添加一款新硬盘并格式化为 xfs 类型的文件系统，然后挂在到/date 目录下。

[root@localhost ~]# fdisk /dev/sdb
......	//省略部分内容Command (m for help): n Partition type:
p	primary (0 primary, 0 extended, 4 free) e	extended
Select (default p): p
Partition number (1-4, default 1):
First sector (2048-41943039, default 2048):
Using default value 2048
Last sector, +sectors or +size{K,M,G} (2048-41943039, default 41943039): Using default value 41943039
Partition 1 of type Linux and of size 20 GiB is set Command (m for help): p
Disk /dev/sdb: 21.5 GB, 21474836480 bytes, 41943040 sectors Units = sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes I/O size (minimum/optimal): 512 bytes / 512 bytes Disk label type: dos
Disk identifier: 0x30e29e0f
Device Boot	Start	End	Blocks	Id System
/dev/sdb1	2048	41943039	20970496	83 Linux Command (m for help): w
The partition table has been altered! Calling ioctl() to re-read partition table. Syncing disks.
[root@localhost ~]# partprobe /dev/sdb
[root@localhost ~]# mkfs.xfs /dev/sdb1
meta-data=/dev/sdb1	isize=512	agcount=4, agsize=1310656 blks
=	sectsz=512	attr=2, projid32bit=1
=	crc=1	finobt=0, sparse=0
data	=	bsize=4096	blocks=5242624, imaxpct=25
=	sunit=0	swidth=0 blks naming	=version 2	bsize=4096		ascii-ci=0 ftype=1
log	=internal log	bsize=4096	blocks=2560, version=2
=		sectsz=512		sunit=0 blks, lazy-count=1 realtime =none	extsz=4096	blocks=0, rtextents=0 [root@localhost ~]# mkdir /date
[root@localhost ~]# mount /dev/sdb1 /date/
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

2. 准备测试文件。

[root@localhost ~]# cd /date [root@localhost date]# cp /etc/passwd ./ 
[root@localhost date]# mkdir test [root@localhost date]# touch test/a 
[root@localhost date]# tree /date
/date
├── passwd
└── test
└── a
1 directory, 2 files
1
2
3
4
5
6
7
8

3. 使用 xfsdump 命令备份整个分区。

[root@localhost ~]# xfsdump -f /opt/dump_sdb1 /dev/sdb1
xfsdump: using file dump (drive_simple) strategy
xfsdump: version 3.1.7 (dump format 3.0) - type ^C for status and control

=============================
	dump	label	dialog
==============================

please enter label for this dump session (timeout in 300 sec)
-> dump_sdb1	//指定备份会话标签
session label entered: "dump_sdb1"
……省略部分
=============================
	media	label	dialog
=============================

please enter label for media in drive 0 (timeout in 300 sec)
-> sdb1	//指定设备标签，就是对要备份的设备做一个描述
media label entered: "sdb1"

[root@localhost ~]# xfsdump   -I	//查看备份信息与内容
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21

4. 删除之前创建的内容，模拟数据丢失。

[root@localhost ~]# cd /date/ 
[root@localhost date]# ls passwd test
[root@localhost date]# rm -rf ./* 
[root@localhost date]# ls 
[root@localhost date]#
1
2
3
4
5

5. 使用 xfsrestore 命令恢复文件。

xfsrestore 命令的语法为：xfsrestore -f 恢复文件的位置 存放恢复后文件的路径。

[root@localhost ~]# xfsrestore -f /opt/dump_sdb1 /date/
......	// 省 略 部 分 内 容 xfsrestore: Restore Status: SUCCESS 
[root@localhost ~]# ls /date/
passwd test

1
2
3
4
5

6. 使用 xfsdump 时，需要注意以下的几个限制：

• xfsdump 不支持没有挂载的文件系统备份，所以只能备份已挂载的；

• xfsdump 必须使用 root 的权限才能操作(涉及文件系统的关系)；

• xfsdump 只能备份 XFS 文件系统；

• xfsdump 备份下来的数据(档案或储存媒体)只能让 xfsrestore 解析；

• xfsdump 是透过文件系统的 UUID 来分辨各个备份档的，因此不能备份两个具有相同UUID 的文件系统。

二、分析日志文件

1.主要日志文件

在 Linux 操作系统中，日志数据主要包括以下三种类型。

1. 内核及系统日志：这种日志数据由系统服务 rsyslog 统一管理，根据其主配置文件/etc/rsyslog.conf 中的设置决定将内核消息及各种系统程序消息记录到什么位置。
   系统中有相当一部分程序会把自己的日志文件交由 rsyslog 管理，因而这些程序使用的日志记录也具有相似的格式。
2. 用户日志：这种日志数据用于记录 Linux 操作系统用户登录及退出系统的相关信息， 包括用户名、登录的终端、登录时间、来源主机、正在使用的进程操作等。
3. 程序日志：有些应用程序会选择由自己独立管理一份日志文件（而不是交给 rsyslog 服务管理），用于记录本程序运行过程中的各种事件信息。
   由于这些程序只负责管理自己的日志文件，因此不同程序所使用的日志记录格式可能会存在较大的差异。

下面介绍常见的一些日志文件：

1. /var/log/messages：记录 Linux 内核消息及各种应用程序的公共日志信息，包括启动、I/0 错误、网络错误、程序故障等。对于未使用独立日志文件的应用程序或服务，一般都可以从该日 志文件中获得相关的事件记录信息。
2. /var/log/cron：记录 crond 计划任务产生的事件信息。
3. /var/log/dmesg：记录 Linux 操作系统在引导过程中的各种事件信息。
4. /var/log/maillog：记录进入或发出系统的电子邮件活动。
5. /var/log/lastlog：记录每个用户最近的登录事件。
6. /var/log/secure：记录用户认证相关的安全事件信息。
7. /var/log/wtmp：记录每个用户登录、注销及系统启动和停机事件。
8. /var/log/btmp：记录失败的、错误的登录尝试及验证事件。

2.日志文件分析

• 对于大多数文本格式的日志文件（如内核及系统日志、大多数的程序日志），只要使用 tail、more、less、cat 等文本处理工具就可以查看日志内容。
• 而对于一些二进制格式的日志文件（如用户日志），则需要使用特定的查询命令。

2.1）内核及系统日志

1. 内核及系统日志功能主要由默认安装的 rsyslog-7.4.7-16.el7.x86_64.rpm 软件包提供。
2. rsyslog 服务所使用的配置文件为/etc/rsyslog.conf。
3. 通过查看/etc/rsyslog.conf 文件中的内容，可以了解到系统默认的日志设置

示例[root@localhost ~]# grep -v “^$” /etc/rsyslog.conf //过滤掉空行

从配置文件/etc/rsyslog.conf 中可以看到，受 rsyslogd 服务管理的日志文件都是 Linux 操作系统中主要的日志文件，它们记录了 Linux 操作系统中内核、用户认证、电子邮件、计划任务等基本的系统消息。
在 Linux 内核中，根据日志消息的重要程度不同，将其分为不同的优先级别（数字等级越小，优先级越高，消息越重要）。

内核及大多数系统消息被记录到公共日志文件/var/log/messages 中，而其他一些程序消息被记录到各自独立的日志文件中，此外日志消息还能够记录到特定的存储设备中，或者直接发送给指定用户。

查看/var/log/messages 文件的内容如下：

[root@localhost ~]# more /var/log/messages
May 7 09:35:46 localhost dhclient[923]: DHCPREQUEST on ens33 to 192.168.12.254 port 67 (xid=0x4f7f013a)
May 7 09:35:46 localhost dhclient[923]: DHCPACK from 192.168.12.254 (xid=0x4f7f013a)
May 7 09:35:46 localhost NetworkManager[819]: <info> [1494164146.8289] dhcp4 (ens33):
…… //省略部分内容
1
2
3
4
5

对于 rsyslog 服务统一管理的大部分日志文件，使用的日志记录格式基本上是相同的。

以公共日志/var/log/messages 文件的记录格式为例，其中每一行表示一条日志消息，每一条消息均包括以下四个字段。

• 时间标签：消息发出的日期和时间。
• 主机名：生成消息的计算机的名称。
• 子系统名称：发出消息的应用程序的名称。
• 消息：消息的具体内容。

有些情况下，可以设置 rsyslog，使其在把日志信息记录到文件的同时将日志信息发送到打印机进行打印，这样无论网络入侵者怎样修改日志都不能清除入侵的痕迹。
rsyslog 日志服务是一个常会被攻击的显著目标，破坏了它将使管理员难以发现入侵及入侵的痕迹， 因此要特别注意监控其守护进程及配置文件。

2.2) 用户日志

在 wtmp、btmp、lastlog 等日志文件中，保存了系统用户登录、退出等相关的事件消息。
但是这些文件都是二进制的数据文件，不能直接使用 tail、less 等文本查看工具进行浏览， 需要使用 who、w、users、last 和 lastb 等用户查询命令来获取日志信息。
（1）查询当前登录的用户情况——users、who、w 命令

users 命令只是简单地输出当前登录的用户名称，每个显示的用户名对应一个登录会话。
示例：

[root@localhost ~]# users
root root root	//root 用户打开三个终端
1
2

who 命令用于报告当前登录到系统中的每个用户的信息。使用该命令，系统管理员可以查看当前系统存在哪些不合法用户，从而对其进行审计和处理。
who 的默认输出包括用户名、终端类型、登录日期及远程主机。
示例：

[root@localhost ~]# who
root	:0	2017-05-07 10:27 (:0)
root	pts/1	2017-05-07 10:27 (:0)
root	pts/2	2017-05-07 10:28 (192.168.12.1)
1
2
3
4

w 命令用于显示当前系统中的每个用户及其所运行的进程信息，比 users、who 命令的输出内容要丰富一些。
示例：

[root@localhost ~]# w
11:48:26 up 1:32, 3 users, load average: 0.03, 0.02, 0.05
USER	TTY	FROM	LOGIN@	IDLE	JCPU	PCPU WHAT
root	:0	:0	10:27	?xdm? 51.22s 0.27s gdm-session-worker 
1
2
3
4

（2）查询用户登录的历史记录——last、lastb 命令

last 命令用于查询成功登录到系统的用户记录，最近的登录情况将显示在最前面。通过last 命令可以及时掌握 Linux 主机的登录情况，若发现未经授权的用户登录过，则表示当前主机可能已被入侵。
示例：

[root@localhost ~]# last

root	pts/0		192.168.12.1	Sun May 7 11:11 - 11:46 (00:34)
root	pts/2		192.168.12.1	Sun May   7 10:28	still logged in
hackli	tty2			Sun May 7 10:27 - 10:29 (00:01)
root	pts/1		:0	Sun May   7 10:27	still logged in
root	:0	:0	Sun	May   7 10:27	still logged in
…… //省略部分内容
1
2
3
4
5
6
7
8

lastb 命令用于查询登录失败的用户记录，如登录的用户名错误、密码不正确等情况都将记录在案。
登录失败的情况属于安全事件，因为这表示可能有人在尝试猜解你的密码。
除了使用 lastb 命令查看以外，也可以直接从安全日志文件/var/log/secure 中获得相关信息。

示例：

[root@localhost ~]# lastb
teacher	tty3	Sun May	7 09:51 - 09:51	(00:00)
root	tty3	Sun May	7 09:51 - 09:51	(00:00)
teacher	tty3	Sun May	7 09:51 - 09:51	(00:00)
1
2
3
4

或者

[root@localhost ~]# tail /var/log/secure   ##查看
1

2.3)程序日志

在 Linux 操作系统中，还有相当一部分应用程序没有使用 rsyslog 服务来管理日志，而是由程序自己维护日志记录。
例如，httpd 网站服务程序使用两个日志文件 access_log 和error_log 分别记录客户访问事件和错误事件。

在检查这些日志时，要注意是否有不合常理的时间或操作记录。例如，出现以下现象就应多加注意。

1. 用户在非常规的时间登录，或者用户登录系统的 IP 地址和以往的不一样。
2. 用户登录失败的日志记录，尤其是那些一再连续尝试进入失败的日志记录。
3. 非法使用或不正当使用超级用户权限。
4. 无故或者非法重新启动各项网络服务的记录。
5. 不正常的日志记录，如日志残缺不全，或者是诸如 wtmp 这样的日志文件无故缺少了中间的记录文件。