linux故障分析

第一部分 日志分析及管理

日志文件时用于记录  系统中各种运行消息的文件相当于  主机的”日记”。不

同的日志文件记载了不同类型的信息，例如， 内核消息、用户登录记录、程序错误等。

日志文件对于诊断和解决系统中的问题很有帮助，因为在  系统中运行的程序通常

会把系统消息和错误消息写入相应的日志文件，这样系统一旦出现问题就会“有据可查”。

此外，当主机遭受攻击时，日志文件还可以帮助寻找攻击者留下的痕迹。

 主要日志文件

 内核及系统日志：这种日志数据由系统服务  统一管理，根据其主配置文件“

服务管理），用于记录本程序运行过程中的各种事件信息。由于这些程序只负责管理

自己的日志文件，因此不同程序使用的日志格式可能会存在较大的差异。

 系统本身和大部分服务器程序的日志文件默认情况下都放置在目录“中。一部

分程序共用一个日志文件，一部分程序使用单个日志文件，而有些大型服务器程序由于日

志文件不止一个，所以会在“目录中建立相应的子目录来存放日志文件，这样既保

证了日志文件目录的结构清晰，又可以快速地定位日志文件。有相当一部分日志文件只有

 用户才有权限读取，这保证了相关日志信息的安全性。

例子列表查看“目录中的各种日志文件及子目录。



对于  系统中的一些常见日志文件，有必要熟悉其相应的用途，这样才能在需要的时候

 记录进入或发出系统的电子邮件活动。

 最近几次成功登录事件和最后一次不成功登录事件。

  记录系统中安装的各  包列表信息。

 记录用户登录认证过程中的事件信息。

 !记录每个用户登录、注销及系统启动和停机事件。

 记录当前登录的每个用户的详细信息。

" 日志文件分析

分析日志文件的目的在于通过浏览日志查找关键信息，对系统服务进行调试，判断故障

的原因等。对于大多数文本格式的日志文件（如内核及系统日志、大多数的程序日志），

只要使用 、、、 等文本处理工具就可以查看日志内容。而对于一些二进制格

式的日志文件（如用户日志），则需要相应的查询命令。

， 内核及系统日志。

内核及系统日志功能主要由默认安装的 #$#%&" 软件包提供，该软件包安装了

、 两个程序，并通过  服务进行控制，分别用于记录系统内核的消息和各

种应用程序的消息。 服务所使用的配置文件为“。

从配置文件“中可以看到，受  服务管理的日志文件都是  系统最

主要的日志文件，他们记录了  系统中内核、用户认证、邮件、计划任务等最基本的系

统消息。在  内核中，根据日志消息的重要程度不同，将其分为不同的优先级别（数字

等级越小，优先级别越高，消息越重要）

,-.-/0（紧急）：会导致主机系统不可用的情况。

12-/3（警告）：必须马上采取措施解决的问题。

"4/3（严重）：比较严重的情况。

%-//（错误）：运行出现错误。

869（信息）：一般信息。

 子系统名称：发出消息的应用程序的名称。

 消息：消息的具体内容

有些情况下，可以设置 ，使其在把日志信息记录到文件的同时将日志信息发送到打

印机进行打印，这样无论网络入侵者怎么修改日志都不能清除入侵的痕迹。 日志服

务是一个常会被攻击的显著目标，破坏了它将会使管理员难以发现入侵及入侵的痕迹，因

此要特别注意监控其守护进程及配置文件。

"，用户日志

在 !、、 等日志文件中，保存了系统用户登录、退出等相关事件的事

件消息。但是这些文件都是二进制的数据文件，不能直接使用 、 等文本查看工具进

行浏览，需要使用 !>、!、、 和  等用户查询命令来获得日志信息。

例子：使用 ! 命令查看当前登录的各用户信息及所运行的进程。

!

果一个用户有不止一个登录会话，那他的用户名将显示与其相同的次数。

例子：使用  命令查看当前的用户登录会话情况。



$） 命令

?>#7

使用用户名作为参数，再结合“#选项可以按每天进行统计。未指定用户名时，可以使用“#

选项进行分别统计。

例子：

统计  用户在每天的连接时间。

#

分别统计各用户的总连接时间。

#

3，程序日志

在  系统中，还有相当一部分程序没有使用  服务来管理日志，而是由程序自

将与文件上传、下载事件相关的信息记录在  文件中。由于不同应用程序的日志记录



以及用户登录日志记录等。在检查这些日志时，要注意是否有不合理的时间或操作记录。

例如：

 用户在非常规的时间登录，或者用户登录系统的  地址和以往的不一样。

 用户登录失败的日志记录，尤其是那些一再连续尝试进入失败的日志记录。

 非法使用或不正当使用超级用户权限。

 无故或者非法重新启动各项网络服务的记录。