Linux--深入理解Linux文件系统与日志分析（软链接与硬链接、恢复误删除的文件-EXT与xfs、日志文件）

前言

• 在处理 Linux 系统出现的各种故障时，故障的症状是最易发现的，而导致这一故障的原因才是最终排除故障的关键。熟悉 Linux 系统中常见的日志文件，了解一般故障的分析与解决办法，将有助于管理员快速定位故障点、“对症下药”、并及时解决各种系统问题。另外， Linux 系统中通过分区、格式化来创建文件系统，而文件系统的运行又与 block 和 inode 有关。
• 下面来深入地了解 Linux 系统的文件系统和日志文件分析，并通过一些实例介绍常见系统故障的分析与排除过程。由于故障现象的不确定性，在进行一些模拟故障的操作之前，一定要提前做好数据备份。

一、inode与block详解

1.1 inode 和 block 概述

• 文件是存储在硬盘上的，硬盘的最小存储单位叫做“扇区”（sector），每个扇区存储 512字节。操作系统读取硬盘的时候，不会一个个扇区地读取，这样效率太低，而是一次性连续读取多个扇区，即一次性读取一个"块"（block）。这种由多个扇区组成的"块"，是文件存取的最小单位。"块"的大小，最常见的是 4KB，即连续八个 sector 组成一个 block。
• 文件数据存储在“块”中，那么还必须找到一个地方存储文件的元信息，比如文件的创建者、文件的创建日期、文件的大小等等。这种存储文件元信息的区域就叫做 inode，中文译名为“索引节点”，也叫 i 节点。因此，一个文件必须占用一个 inode，但至少占用一个 block
  

1.2 inode的内容

1、inode 包含很多的文件元信息，但不包含文件名，例如：

• 文件的字节数
• 文件拥有者的 UserID
• 文件的 GroupID
• 文件的读、写、执行权限
• 文件的时间戳
• …

2、使用 stat 命令即可查看某个文件的 inode 信息。

[root@localhost ~]# touch 333.txt
[root@localhost ~]# stat 333.txt
  文件："333.txt"
  大小：0         	块：0          IO 块：4096   普通空文件
设备：802h/2050d	Inode：50331717    硬链接：1
权限：(0644/-rw-r--r--)  Uid：(    0/    root)   Gid：(    0/    root)
环境：unconfined_u:object_r:admin_home_t:s0
最近访问：2019-11-16 21:25:30.259045437 +0800
最近更改：2019-11-16 21:25:30.259045437 +0800
最近改动：2019-11-16 21:25:30.259045437 +0800
创建时间：-

3、Linux 系统文件有三个主要的时间属性，分别是ctime(change time), atime(access time), mtime(modify time)。

• ctime(change time) 是最后一次改变文件或目录（属性）的时间，例如执行 chmod， chown 等命令；
• atime(access time)是最后一次访问文件或目录的时间；
• mtime(modify time)是最后一次修改文件或目录（内容）的时间。

4、刚才提到 inode 中并不包括文件名，其实文件名是存放在目录当中的。Linux 系统中一切皆文件，因此目录也是一种文件，目录文件的结构如图所示。

• 每个 inode 都有一个号码，操作系统用 inode 号码来识别不同的文件，Linux 系统内部不使用文件名，而使用 inode 号码来识别文件。对于用户来说，文件名只是 inode 号码便于识别的别称。

1.3 inode 的号码

用户在访问文件时，表面上是用户通过文件名来打开文件，而实际系统内部的过程分成 以下三步：

• 系统找到这个文件名对应的 inode 号码；
• 通过 inode 号码，获取 inode 信息；
• 根据 inode 信息，找到文件数据所在的 block，并读出数据。常见的查看 inode 号码的方式有两种：
• ls -i 命令：直接查看文件名所对应的 inode 号码；
• stat 命令：通过查看文件 inode 信息而查看到 inode 号码。

[root@localhost ~]# ls -i
50331717 333.txt               18560747 公共   1790202 图片  50331758 音乐
50331714 anaconda-ks.cfg        1790201 模板  34291860 文档  34291859 桌面
50331724 initial-setup-ks.cfg  18560748 视频  50331757 下载
[root@localhost ~]# ls -i 333.txt
50331717 333.txt

查看文件系统的inode数量信息（总数，已用，可用）

[root@localhost opt]# df -i
文件系统          Inode 已用(I)  可用(I) 已用(I)% 挂载点
/dev/sda2      10485760  117069 10368691       2% /
devtmpfs         229705     372   229333       1% /dev
tmpfs            233378       1   233377       1% /dev/shm
tmpfs            233378     543   232835       1% /run
tmpfs            233378      16   233362       1% /sys/fs/cgroup
/dev/sda5       5241856     141  5241715       1% /home
/dev/sda1       3145728     328  3145400       1% /boot
tmpfs            233378      16   233362       1% /run/user/0

所以，当用户在 Linux 系统中试图访问一个文件时，系统会先根据文件名去查找它对应的 inode，看该用户是否具有访问这个文件的权限。如果有，就指向相对应的数据 block， 如果没有，就返回 Permission denied。而一块硬盘分区后的结构则是如图所示。

1.4 inode 的大小

• inode 也会消耗硬盘空间，所以格式化的时候，操作系统自动将硬盘分成两个区域。一个是数据区，存放文件数据；另一个是 inode 区，存放 inode 所包含的信息。
• 每个 inode 的大小，一般是 128 字节或 256 字节。
• 通常情况下不需要关注单个 inode 的大小，而是需要重点关注 inode 总数。格式化文件系统时确定inode的总数
• 执行“df -i”命令即可查看每个硬盘分区对应的的 inode 总数和已经使用的 inode 数量。

[root@localhost opt]# df -i
文件系统          Inode 已用(I)  可用(I) 已用(I)% 挂载点
/dev/sda2      10485760  117069 10368691       2% /
devtmpfs         229705     372   229333       1% /dev
tmpfs            233378       1   233377       1% /dev/shm
tmpfs            233378     543   232835       1% /run
tmpfs            233378      16   233362       1% /sys/fs/cgroup
/dev/sda5       5241856     141  5241715       1% /home
/dev/sda1       3145728     328  3145400       1% /boot
tmpfs            233378      16   233362       1% /run/user/0

df命令

df - 报告文件系统磁盘空间的使用情况
df -a：显示所有文件系统的磁盘使用情况，包括0块（block）的文件系统。
df -h：以容易理解的格式输出文件系统大小，例如124KB、345MB、46GB。
df -i：显示i节点信息，而不是磁盘块。
df -t：显示各指定类型的文件系统的磁盘空间使用情况。
df -x：列出不是某一指定类型文件系统的磁盘空间使用情况。
df -T：显示文件系统类型。
df 以512字节为单位
df –k 以1024字节为单位

1.5 inode的特殊作用

由于 inode 号码与文件名分离，导致一些 Unix/Linux 系统具备以下几种特有的现象。

• 文件名包含特殊字符，可能无法正常删除。这时直接删除 inode，能够起到删除文件的作用；
• 移动文件或重命名文件，只是改变文件名，不影响 inode 号码；
• 打开一个文件以后，系统就以 inode 号码来识别这个文件，不再考虑文件名。

这种情况使得软件更新变得简单，可以在不关闭软件的情况下进行更新，不需要重启。 因为系统通过 inode 号码，识别运行中的文件，不通过文件名。更新的时候，新版文件以同样的文件名，生成一个新的 inode，不会影响到运行中的文件。等到下一次运行这个软件的时候，文件名就自动指向新版文件，旧版文件的 inode 则被回收。

二、硬链接与软链接

在 Linux 系统下的链接文件有两种，

• 一种类似于 Windows 的快捷方式功能的文件，可以快速连接到目标文件或目录，称之为软链接；
• 另一种则是通过文件系统的 inode 链接来产生的新文件名，而不是产生新文件，称之为硬链接。

2.1 硬链接

一般情况下，文件名和 inode 号码是一一对应关系，每个 inode 号码对应一个文件名。
但是 Linux 系统允许多个文件名指向同一个 inode 号码。这意味着，可以用不同的文件名访问同样的内容。

ln 源文件 目标

• 运行该命令以后，源文件与目标文件的 inode 号码相同，都指向同一个 inode。inode
  信息中的“链接数”这时就会增加 1 。

• 当一个文件拥有多个硬链接时，对文件内容修改，会影响到所有文件名；但是删除一个文件名，不影响另一个文件名的访问。删除一个文件名，只会使得 inode 中的"链接数"减 1。需要注意的是不能对目录做硬链接。

2.2 软链接

• 软链接就是再创建一个独立的文件，而这个文件会让数据的读取指向它连接的那个文件的文件名

• 例如：文件A和文件B的inode号码虽然不一样，但是文件A的内容是文件B的路径。
  读取文件A时，系统会自动将访问者导向文件B
  此时，文件A就称为文件B的“软链接（soft link）”或者“符号链接（symbolic link）”

• 这表示，文件A依赖于文件B而存在，如果删除了文件B ，打开文件A就会报错

• 这是软链接与硬链接的最大不同：文件A指向文件B的文件名，而不是文件B的inode号码，文件B的inode“链接数”不会因此产生变化。

ln -s 源文件或目录 目标文件或目录

总结
1、链接文件是为文件或目录建立链接文件
2、软链接与硬链接对比

	软链接（符号链接）	硬链接
删除原始文件后	失效	仍旧可用
使用范围	适用于文件或目录	只可用于文件
保存位置	与原始文件可以位于不同的文件系统中	必须与原始文件在同一个文件系统（如一个Linux分区）内

• 删除原始文件后，软链接无法找到原始文件的文件名，所以会报错。硬链接与原始文件inode相同，所以不影响访问，仍旧可用。

• 删除一个文件，实际上并不清除inode节点和block的数据，只是在这个文件的父目录里面的block中，删除这个文件的名字

• Linux是通过link的数量来控制文件的删除的，只有当一个文件不存在任何link的时候，这个文件才会被删除

三、恢复误删除的文件

3.1 EXT 类型文件恢复

说明
删除一个文件，实际上并不清除 inode 节点和 block 的数据，只是在这个文件的父目录里面的 block 中，删除这个文件的名字。Linux 是通过 Link 的数量来控制文件删除的，只有当一个文件不存在任何 Link 的时候，这个文件才会被删除。

在 Linux 系统运维工作中，经常会遇到因操作不慎、操作错误等导致文件数据丢失的情况，尤其对于客户企业中一些新手。当然，这里所指的是彻底删除，即已经不能通过“回收站”找回的情况，比如使用“rm -rf”来删除数据。针对 Linux 下的 EXT 文件系统，可用的恢复工具有 debugfs、ext3grep、extundelete 等。 其中 extundelete 是一个开源的 Linux 数据恢复工具，支持 ext3、ext4 文件系统。

在数据被误删除后，第一时间要做的就是卸载被删除数据所在的分区，如果是根分区的数据遭到误删，就需要将系统进入单用户模式，并且将根分区以只读模式挂载。这样做的原因很简单，因为将文件删除后，仅仅是将文件的 inode 节点中的扇区指针清零，实际文件还存储在磁盘上，如果磁盘继续以读写模式挂载，这些已删除的文件的数据块就可能被操作系统重新分配出去，在这些数据库被新的数据覆盖后，这些数据就真的丢失了，恢复工具也回天无力。所以以只读模式挂载磁盘可以尽量降低数据库中数据被覆盖的风险，以提高恢复数据成功的比例。

实验步骤

1.编译安装 extundelete

• 在编译安装extundelete 之前需要先安装两个依赖包e2fsprogs-libs 和e2fsprogs-devel， 这两个包在系统安装光盘的/Package 目录下就有，使用 rpm 或 yum 命令将其安装。e2fsprogs-devel 安装依赖于 libcom_err-devel 包。
• 安装完依赖包之后，即可将提前上传的 extundelete 软件包解压、配置、编译、安装。

[root@localhost ~]# yum -y install e2fsprogs-devel e2fsprogs-libs
[root@localhost	~]#	wget http://nchc.dl.sourceforge.net/project/extundelete/extundelete/0.2.4/extundelete-0.2.4.tar. bz2
[root@localhost ~]# tar -xf extundelete-0.2.4.tar.bz2
[root@localhost ~]# cd extundelete-0.2.4
[root@localhost extundelete-0.2.4]# ./configure --prefix=/usr/local/extundelete&& make && make install
Configuring extundelete 0.2.4 
Writing generated files to disk 
make -s all-recursive
Making all in src
extundelete.cc: In function ‘ext2_ino_t find_inode(ext2_filsys, ext2_filsys, ext2_inode*, std::string, int)’:
extundelete.cc:1272:29: warning: narrowing conversion of ‘search_flags’ from ‘int’ to ‘ext2_ino_t
{aka unsigned int}’ inside { } [-Wnarrowing] buf, match_name2, priv, 0};                                       
Making install in src
/usr/bin/install -c extundelete '/usr/local/extundelete/bin'
[root@localhost extundelete-0.2.4]# ln -s /usr/local/extundelete/bin/* /usr/bin/

2、模拟删除并执行恢复操作
（1）使用 fdisk 命令创建新分区，将其挂载到/tmp 目录下，往该目录下新建一些文件或目录

[root@localhost ~]# fdisk -l
......	//省略部分内容
Disk /dev/sdb: 21.5 GB, 21474836480 bytes, 41943040 sectors 
Units = sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes 
I/O size (minimum/optimal): 512 bytes / 512 bytes
......	//省略部分内容
[root@localhost ~]# fdisk /dev/sdb
......	//省略部分内容
Command (m for help): n 
Partition type:
  p	primary (0 primary, 0 extended, 4 free) 
  e	extended
Select (default p): p
Partition number (1-4, default 1):
First sector (2048-41943039, default 2048):
Using default value 2048
Last sector, +sectors or +size{K,M,G} (2048-41943039, default 41943039): 
Using default value 41943039
Partition 1 of type Linux and of size 20 GiB is set 
Command (m for help): p
Disk /dev/sdb: 21.5 GB, 21474836480 bytes, 41943040 sectors 
Units = sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes 
I/O size (minimum/optimal): 512 bytes / 512 bytes 
Disk label type: dos
Disk identifier: 0x30e29e0f

Device Boot	Start	End	Blocks	Id System
/dev/sdb1	2048	41943039	20970496	83 Linux
Command (m for help): w
The partition table has been altered! 
Calling ioctl() to re-read partition table. 
Syncing disks.
[root@localhost ~]# partprobe /dev/sdb 
[root@localhost ~]# mkfs.ext3 /dev/sdb1 mke2fs 1.42.9 (28-Dec-2013)
Filesystem label= 
OS type: Linux
Block size=4096 (log=2)
......	//省略部分内容
Allocating group tables: done 
Writing inode tables: done
Creating journal (32768 blocks): done
Writing superblocks and filesystem accounting information: done 
[root@localhost ~]# mkdir /test/
[root@localhost ~]# mount /dev/sdb1 /test/ 
[root@localhost ~]# cd /test/ 
[root@localhost test]# echo a>a 
[root@localhost test]# echo a>b 
[root@localhost test]# echo a>c 
[root@localhost test]# echo a>d 
[root@localhost test]# ls
a    b    c    d  lost+found

执行完命令‘extundelete /dev/sdb1”后输入”y“即可查看该文件系统的使用情况。

也可以使用“extundelete /dev/sdb1 --inode 2”查看文件系统/dev/sdb1 下存在哪些文件， 具体的使用情况。其中–inode 2 代表从 i 节点为 2 的文件开始查看，一般文件系统格式化挂载之后，i 节点是从 2 开始的，2 代表该文件系统最开始的目录。

（2）模拟误操作并恢复

使用"rm -rf a b"命令删除/tmp/下的 a 文件和 b 文件，当出现误操作时，立刻卸载该文件系统，然后使用“extundelete /dev/sdb1 --restore-all"恢复/dev/sdb1 文件系统下的所有内容。

[root@localhost test]# rm -rf a b
[root@localhost test]# ls 
c d lost+found 
[root@localhost test]# cd
[root@localhost ~]# umount /test/
[root@localhost ~]# extundelete /dev/sdb1 --restore-all
NOTICE: Extended attributes are not restored. 
Loading filesystem metadata ... 160 groups loaded. 
Loading journal descriptors ... 26 descriptors loaded. 
Searching for recoverable inodes in directory / ...
2 recoverable inodes found.
Looking through the directory structure for deleted files ...
0 recoverable inodes still lost.

执行完恢复的命令后，在当前目录下会出现一个/RECOVERED_FILES/目录，里面保 存了已经恢复的文件。

[root@localhost ~]# ls
anaconda-ks.cfg extundelete-0.2.4 extundelete-0.2.4.tar.bz2 RECOVERED_FILES 
[root@localhost ~]# cd RECOVERED_FILES/
[root@localhost RECOVERED_FILES]# ls
a b

当然 extundelete 的用法还有很多，可以通过 help 查看详细用法。

3.2 xfs 类型文件备份和恢复

extundelete 工具仅可以恢复 EXT 类型的文件，无法恢复 CentOS 7 系统默认采用 xfs 类型的文件。针对 xfs 文件系统目前也没有比较成熟的文件恢复工具，所以建议提前做好数据备份，以避免数据丢失。

xfs 类型的文件可使用 xfsdump 与 xfsrestore 工具进行备份恢复。若系统中未安装xfsdump 与xfsrestore 工具，可以通过yum install -y xfsdump 命令安装。xfsdump 按照inode 顺序备份一个 xfs 文件系统。xfsdump 的备份级别有两种：0 表示完全备份；1-9 表示增量备份。xfsdump 的备份级别默认为 0。xfsdump 的命令格式为：xfsdump -f 备份存放位置要备份路径或设备文件。常用的备份参数包括以下几种：

• -f：指定备份文件目录；

• -L：指定标签 session label；

• -M：指定设备标签 media label；

• -s：备份单个文件，-s 后面不能直接跟路径。

xfsdump命令格式
xfsdump -f 备份存放位置 要备份的路径或者设备文件

xfsdump使用限制

• 只能备份已挂载的文件系统
• 必须使用root的权限才能操作
• 只能备份xfs文件系统
• 备份后的数据只能用xfsrestore解析
• 不能备份两个具有相同UUID的文件系统

xfsrestore命令格式
xfsrestore -f 恢复文件的位置 存放恢复后文件的位置

实验步骤

下面通过一个案例来备份恢复 xfs 类型的文件。首先添加一款新硬盘并格式化为 xfs 类型的文件系统，然后挂在到/date 目录下。
1、创建一块磁盘并挂载

[root@localhost ~]# df -hT		'创建一块磁盘，并挂载，此操作不赘述，如有疑问，可查看我的博客“Linux磁盘与文件系统管理--理论与命令配置（https://blog.csdn.net/CN_TangZheng/article/details/102866952）”'
文件系统       类型      容量  已用  可用 已用% 挂载点
/dev/sda2      xfs        20G  3.1G   17G   16% /
devtmpfs       devtmpfs  898M     0  898M    0% /dev
tmpfs          tmpfs     912M     0  912M    0% /dev/shm
tmpfs          tmpfs     912M  9.0M  903M    1% /run
tmpfs          tmpfs     912M     0  912M    0% /sys/fs/cgroup
/dev/sda1      xfs       6.0G  174M  5.9G    3% /boot
/dev/sda5      xfs        10G   37M   10G    1% /home
tmpfs          tmpfs     183M   12K  183M    1% /run/user/42
tmpfs          tmpfs     183M     0  183M    0% /run/user/0
/dev/sdb1      xfs        20G   33M   20G    1% /111

2、在挂载点中创建文件

[root@localhost ~]# cp /etc/passwd /111		'将/etc/passwd 复制到/111目录下'
[root@localhost ~]# mkdir /111/222		'在/111目录下创建/222目录'
[root@localhost ~]# echo "this is test" > /111/222/test.txt		'创建带有“this is test”内容的文件test.txt，放到/111/222目录下'
[root@localhost ~]#yum install tree -y		'安装tree工具'
    ...此处省略内容
[root@localhost ~]# tree /111		'查看/111结构'
/111
├── 222
│   └── test.txt
└── passwd

1 directory, 2 files

3、备份文件

[root@localhost ~]# ls /opt		'查看/opt目录下内容'
rh
[root@localhost ~]# xfsdump -f /opt/xfs_dump /dev/sdb1		'将/dev/sdb1中的文件备份到/opt/xfs_dump中'
xfsdump: using file dump (drive_simple) strategy
xfsdump: version 3.1.4 (dump format 3.0) - type ^C for status and control

 ============================= dump label dialog ==============================

please enter label for this dump session (timeout in 300 sec)
 -> xfs_dump		'请输入此转储会话的标签xfs_dump，即将文件备份到xfs_dump中'
session label entered: "xfs_dump"
    ...此处省略内容
 ============================= media label dialog =============================

please enter label for media in drive 0 (timeout in 300 sec)
 -> /dev/sdb1		'请输入驱动器0中的媒体标签/dev/sdb1，即备份/dev/sdb1中的文件'
media label entered: "/dev/sdb1"
...此处省略内容
[root@localhost ~]# ls /opt		'查看/opt下是否有备份文件'
rh  xfs_dump

4、删除文件并尝试恢复

[root@localhost ~]# rm -rf /111/*		'将/111下的文件都删除掉'
[root@localhost ~]# ls /111		'查看是否删除成功'
[root@localhost ~]# xfsrestore -f /opt/xfs_dump /111		'将/opt/xfs_dump恢复到/111中'
...此处省略内容
xfsrestore: Restore Summary:
xfsrestore:   stream 0 /opt/xfs_dump OK (success)
xfsrestore: Restore Status: SUCCESS
[root@localhost ~]# ls /111		'查看/111中内容是否恢复'
222  passwd
[root@localhost ~]# tree /111		'查看/111中内容是否恢复'
/111
├── 222
│   └── test.txt
└── passwd

1 directory, 2 files

实验成功，恢复完成

四、日志文件分析

• 分析日志文件的目的在于通过浏览日志查找关键信息，对系统服务进行调试，以及判断发生故障的原因等

• 对于大多数文本格式的日志文件（如内核及系统日志，大多数的程序日志），只要使用tail，more，less，cat等文本处理工具就可以查看日志内容

• 对于一些二进制格式的日志文件（如用户日志），需要使用特定的查询命令

4.1 日志文件

日志的功能

• 用于记录系统、程序运行中发生的各种时间

• 通过阅读日志，有助于诊断和解决系统故障

日志文件的分类

• 内核及系统日志

  • 由系统服务rsyslog统一进行管理，日志格式基本相似

• 用户日志

  • 记录系统用户登录及退出系统的相关信息

• 程序日志

  • 由各种应用程序独立管理的日志文件，记录格式不统一

• 日志保存位置

  • 默认位于：/var/log目录下

主要日志文件介绍

日志类别	存放目录
内核及公共消息日志	/var/log/messages
计划任务日志	/var/log/cron
系统引导日志	/var/log/dmesg
邮件系统日志	/var/log/maillog
用户登录日志	/var/log/lastlog，/var/log/secure，/var/log/wtmp，/var/log/btmp

• /var/log/messages：记录Linux内核消息和各种应用程序的公共日志信息，包括启动，I/O错误，网络错误，程序故障等
  对于未使用独立日志文件的应用程序或服务，一般都可以从该日志文件中获得相关的时间记录信息

• /var/log/cron：记录crond计划任务产生的事件信息

• /var/log/dmesg：记录Linux系统在引导过程中的各种事件信息

• /var/log/maillog：记录进入或发出系统的电子邮件活动

• /var/log/lastlog：记录每个用户最近的登录时间

• /var/log/secure：记录用户认证相关的安全事件信息

• /var/log/wtmp：记录每个用户登录，注销及系统启动和停机事件

• /var/log/btmp：记录失败的，错误的登录尝试及验证事件

• yum安装的都存放在/var/log
  手工编译安装的都是自己指定的目录

4.2 内核及系统日志

由系统服务rsyslogd统一管理

• 软件包：rsyslog-7.4.7-16.el7.x86_64

• 主要程序：/sbin/rsyslogd

• 配置文件：/etc/rsyslog.conf

日志消息的级别

数字等级越小，优先级越高，消息越重要

级号	消息	级别	说明
0	EMERG	紧急	会导致主机系统不可用的情况
1	ALERT	警告	必须马上采取措施解决的问题
2	CRIT	严重	比较严重的情况
3	ERR	错误	运行出现错误
4	WARNING	提醒	可能会影响系统功能的事件
5	NOTICE	注意	不会影响系统但值得注意
6	INFO	信息	一般信息
7	DEBUG	调试	程序或系统调试信息等（做维护的时候可能会用到）

日志记录的一般格式

[root@localhost log]# more messages
Oct 23 14:13:17 localhost journal: Runtime journal is using 8.0M (max allowed 91.1M, trying
 to leave 136.7M free of 903.6M available → current limit 91.1M).
Oct 23 14:13:17 localhost kernel: Initializing cgroup subsys cpuset
Oct 23 14:13:17 localhost kernel: Initializing cgroup subsys cpu
Oct 23 14:13:17 localhost kernel: Initializing cgroup subsys cpuacct
...省略内容

以这段消息举例：
Oct 23 14:13:17 localhost kernel: Initializing cgroup subsys

• 时间标签：Oct 23 14:13:17：消息发出的日期和时间
• 主机名：localhost：生成消息的计算机的名称
• 子系统名称：kernel：发出消息的应用程序的名称
• 消息字段：Initializing cgroup subsys ：消息的具体内容

4.3 用户日志分析

保存了用户登录、退出系统等相关信息

• /var/log/lastlog：最近的用户登录事件

• /var/log/wtmp：用户登录、注销及系统开、关机事件

• /var/run/utmp：当前登录的每个用户的详细信息

• /var/log/secure：与用户验证相关的安全性事件

分析工具

• users、who、w、last、lastb

查询当前登录的用户情况：users，who，w命令

• user命令只简单的输出当前登录的用户名称，每个显示的用户名对应一个登录会话。如果一个用户有不止一个登录会话，那他的用户名将显示与其相同的次数

[root@localhost ~]# users		
root root root		'root用户打开三个终端'

• who命令用户报告当前登录到系统中的每个用户的信息
  使用该命令，系统管理员可以查看当前系统存在哪些不合法用户，从而对其进行审计和处理
  who命令的默认输出包括用户名，终端类型，登录日期及远程主机

[root@localhost ~]# who
root     :0           2019-11-16 21:24 (:0)
root     pts/0        2019-11-16 21:25 (192.168.197.1)
root     pts/1        2019-11-16 21:27 (:0)

• w命令用于显示当前系统中的每个用户及其所运行的进程信息，比users，who命令的输出内容要更加丰富一些

[root@localhost ~]# w
 00:29:58 up  3:05,  3 users,  load average: 0.00, 0.01, 0.05
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
root     :0       :0               21:24   ?xdm?  28.45s  0.08s /usr/libexec/gnome-session
root     pts/0    192.168.197.1    21:25    6.00s  0.09s  0.02s w
root     pts/1    :0               21:27    3:02m  0.01s  0.01s bash

查询用户登录的历史记录：last，lastb命令

• last命令用于查询成功登录到系统的用户记录，最近的登录情况将显示在最前面
  通过last命令可以及时掌握Linux主机的登录情况，若发现未经授权的用户登录过，则表示当前主机可能已被入侵

[root@localhost ~]# last
root     pts/1        :0               Sat Nov 16 21:27   still logged in   
root     pts/0        192.168.197.1    Sat Nov 16 21:25   still logged in   
root     pts/0        :0               Sat Nov 16 21:24 - 21:24  (00:00)    
root     :0           :0               Sat Nov 16 21:24   still logged in   
reboot   system boot  3.10.0-693.el7.x Sat Nov 16 21:24 - 00:32  (03:08)    
root     pts/0        :1               Sat Nov 16 21:23 - 21:23  (00:00)    
root     :1           :1               Wed Oct 23 14:15 - crash (24+07:08)  
cn-tangz :0           :0               Wed Oct 23 14:15 - 14:15  (00:00)    
reboot   system boot  3.10.0-693.el7.x Wed Oct 23 14:13 - 00:32 (24+10:19)  

wtmp begins Wed Oct 23 14:13:18 2019

• lastb命令用于查询登录失败的用户记录，如登录的用户名错误，密码不正确等情况都会记录在案。
  登录失败的情况属于安全事件，因为这表示可能有人在尝试猜出你的密码
  除了使用lastb命令查看以外，还可以直接从安全日志文件/var/log/secure中获得相关信息

[root@localhost ~]# lastb
lisi :1           :1               Sun Nov 17 00:35 - 00:35  (00:00)    
lisi :1           :1               Sun Nov 17 00:35 - 00:35  (00:00)    

btmp begins Sun Nov 17 00:35:42 2019

4.4 程序日志分析

由相应的应用程序独立进行管理

• Web服务：/var/log/heepd/

  • ​ access_log\error_log

• 代理服务：/var/log/squid/

  • access.log、cache.log

• FTP服务：/var/log/xferlog

分析工具

• 文本查看、grep过滤检索、Webmin管理套件中查看

• awk、sed等文本过滤、格式化编辑工具

• Webalizer、Awstats等专用日志分析工具

4.5 日志管理策略

• 及时作好备份和归档
• 延长日志保存期限
• 控制日志访问权限

• 日志中可能会包含各类敏感信息，如账户、口令等

• 集中管理日志
  *将服务器的日志文件发到统一的日志文件服务器

  • 便于日志信息的统一收集、整理和分析

  • 杜绝日志信息的意外丢失、恶意篡改或删除