linux服务器日志命令（linux记录命令的日志linux记录命令）

本文目录

• linux记录命令的日志linux记录命令
• 查看linux系统日志命令查看linux系统的日志
• linux查看日志的三种命令
• linux服务器系统日志如何通过命令压缩移到别的磁盘
• Linux系统被入侵后使用lsof命令恢复被删除日志的方法

linux记录命令的日志linux记录命令

linuxtrace命令详解？

答:linuxtrace命令详解步骤如下。首先来执行历史记录里的命令,所以要使用.-etrace=set只跟踪指定的系统调用.例如:-etrace=open,close,rean,write表示只跟踪这四个系统调用.默认的为set=all.

-etrace=file只跟踪有关文件操作的系统调用.-etrace=process只跟踪有关进程控制的系统调用.-etrace=network跟踪与网络有关的所有系统调用.-estrace=signal跟踪所有与系统信号有关的系统调用-etrace=ipc跟踪所有与进程通讯有关的系统调用

-eabbrev=set设定strace输出的系统调用的结果集.-v等与abbrev=none.默认为abbrev=all.-eraw=set将指定的系统调用的参数以十六进制显示.

如何记录linux服务器内存使用情况？

1、查看内存：在SSH远程控制端，输入命令“cat/proc/meminfo”，按下“Enter”回车键，即可看到总的内存占用情况。

***隐藏网址***

2、查看CPU：在SSH远程控制端，输入命令“top”，按下“Enter”回车键，即可看到cpu的使用率。

***隐藏网址***

3、Linux上的VNC服务端，比较常用的就是tigervnc和x11vnc。x11vnc可以让远程访问者控制本地的实际显示器，而tigervnc既可以远程控制实际显示器，还可以控制平行独立于当前物理显示器的虚拟显示器。

怎样删除Linux系统下的历史记录？

1、修改/etc/profile将HISTSIZE=1000改成0或1清除用户home路径下。bash_history

2、立即清空里的history当前历史命令的记录history-c

3、bash执行命令时不是马上把命令名称写入history文件的，而是存放在内部的buffer中，等bash退出时会一并写入。

不过，可以调用’history-w’命令要求bash立即更新history文件。

history-w

后续操作的删除命令只会删除当前用户的操作命令，并不会影响其他用户。

在提示符后输入命令history，就可以查看到当前用户的历史操作命令。

在提示符下输入命令history-c就可以删除历史操作命令。

再用history命令查看，发现历史操作命令已删除。

如果希望系统不再保存历史操作命令，就必须更改配置文件目录下的配置文件profile。

首先使用vi器打开该文件。

找到HISTSIZE这个值，默认情况下历史命令将保存1000条，可以将该值改为0，然后保存并退出，最后重启系统使得配置文件生效。

重启完成后，再次使用命令history查看，发现系统已不再记录命令。

如何查看linux的重启记录？

last命令可以用于显示用户登录情况。返回的结果中，第一列为用户名，如果用户名为reboot，则说明是重启。因此可以联合使用grep命令过滤出所有登录情况中重启的记录。

查看linux的重启记录：

last|grepreboot与之类似可以查看Linux的关机记录：

last|grepshutdown

linux系统日志收集命令？

命令为var/log/message。

记录系统重要信息的日志，记录Linux系统的绝大多数重要信息，如果系统出现问题，首先要检查的就是应该是这个日志文件；

/var/log/secure记录验证和授权方面的信息，只要涉及账户和密码的程序都会记录。比如说系统的登录，ssh的登录，su切换用户，sudo授权，甚至添加用户和修改用户密码；

/var/log/wtmp永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。同样这个文件也是一个二进制文件不能直接vi而需要使用last命令来查看；

/var/run/utmp记录当前已经登录的用户的信息。这个文件会随着用户的登录和注销而不断变化，只记录当前登录用户的信息，同样这个文件不能直接vi，要使用w，who，users等命令；

查看linux系统日志命令查看linux系统的日志

`linux的登录日志怎么查看？

more/var/log/securewho/var/log/wtmp干了些什么？

root账户下输入su-username切换到username下输入history能看到这个用户历史命令，默认最近的1000条。学习Linux，《Linux就该这么学》这本书能提供更全面的学习路线。

linux下查找日志的技巧？

先必须了解两个最基本的命令:

tail-n10test.log查询日志尾部最后10行的日志;

tail-n+10test.log查询10行之后的所有日志;

head-n10test.log查询日志文件中的头10行日志;

head-n-10test.log查询日志文件除了最后10行的其他所有日志;

场景1:按行号查看---过滤出关键字附近的日志

因为通常时候我们用grep拿到的日志很少,我们需要查看附近的日志.我是这样做的,首先:cat-ntest.log|grep"地形"得到关键日志的行号。

3》得到"地形"关键字所在的行号是102行.此时如果我想查看这个关键字前10行和后10行的日志:

cat-ntest.log|tail-n+92|head-n20

tail-n+92表示查询92行之后的日志

head-n20则表示在前面的查询结果里再查前20条记录

场景2:那么按日期怎么查呢?通常我们非常需要查找指定时间端的日志

sed-n’/2014-12-1716:17:20/,/2014-12-1716:17:36/p’test.log特别说明:上面的两个日期必须是日志中打印出来的日志,否则无效.。关于日期打印,可以先grep’2014-12-1716:17:20’test.log来确定日志中是否有该时间点,以确保第4步可以拿到日志

这个根据时间段查询日志是非常有用的命令.

如果我们查找的日志很多,打印在屏幕上不方便查看,有两个方法:

(1)使用more和less命令,如:cat-ntest.log|grep"地形"|more这样就分页打印了,通过点击空格键翻页

(2)使用》xxx.txt将其保存到文件中,到时可以拉下这个文件分析.如:

cat-ntest.log|grep"地形"》xxx.txt

linux如何在日志中查找关键字？

两种方法：一种是直接进入模式，vi进入后，通过匹配关键字查找你要的东西；一种是直接cat文件然后grep关键字。拓展：

1、Linux操作系统是基于UNIX操作系统发展而来的一种克隆系统，它诞生于1991年的10月5日（这是第一次正式向外公布的时间）。以后借助于Internet网络，并通过全世界各地计算机爱好者的共同努力，已成为今天世界上使用最多的一种UNIX类操作系统，并且使用人数还在迅猛增长。

2、Linux是一套免费使用和自由传播的类Unix操作系统，是一个基于POSIX和UNIX的多用户、多任务、支持多线程和多CPU的操作系统。它能运行主要的UNIX工具软件、应用程序和网络协议。它支持32位和64位硬件。Linux继承了Unix以网络为核心的设计思想，是一个性能稳定的多用户网络操作系统。它主要用于基于Intelx86系列CPU的计算机上。这个系统是由全世界各地的成千上万的程序员设计和实现的。其目的是建立不受任何商品化软件的版权制约的、全世界都能自由使用的Unix兼容产品。

linux下怎么查看ssh的用户登录日志？

sshd服务在linux中是默认开启的，/etc/ssh/sshd_config看看有没有这个文件，或者是使用sship地址登陆一下，ip地址就是你的linux主机的地址。你要是实在不明白就去网上收一下《linux就该这么学》，看看他的第9章，专门讲了ssh服务。

如何分析Linux日志？

一般两种类型日志:永久日志rsyslog临时日志system.journald

临时日志查看journalctl-f参数可追踪实时日志

永久日志保存在/etc/log目录下，通过修改/etc/rsyslog.conf参数可定义不同日志的输出路径

配置路径格式：设备名.优先级；例外路径

例如*.info;mail.none;authpriv.none;cron.none/var/log/messages

表示的是：所有日志优先级在info以上包含info除去mailauthprivcron的日志保存在/var/log/messages中

常用日志

message系统信息日志

sercue安全审计日志

Boot.log系统启动日志

dmesg硬件检测日志（此日志只能用dmesg命令查看）

yum.log所有通过yum安装的软件的安装日志

wtmp用户登录登出记录（用last查看）

查看日志可用cat或者more命令

linux查看日志的三种命令

　　第一种：查看实时变化的日志（比较吃内存）。

　　最常用的：

　　tail -f filename （默认最后10行，相当于增加参数 -n 10）。

　　Ctrl+c 是退出tail命令。

　　其他情况：

　　tail -n 20 filename （显示filename最后20行）。

　　tail -n +5 filename （从第5行开始显示文件）。

　　第二种：搜索关键字附近的日志

　　最常用的：

　　cat -n filename |grep "关键字".

　　其他情况：

　　cat filename | grep -C 5 ’关键字’ （显示日志里匹配字串那行以及前后5行）。

　　cat filename | grep -B 5 ’关键字’ （显示匹配字串及前5行）。

　　cat filename | grep -A 5 ’关键字’ （显示匹配字串及后5行）。

　　第三种：进入查找：vi（vim）。

　　1、进入vim模式：vim filename.

　　2、输入"/关键字",按enter键查找。

　　3、查找下一个，按"n"即可。

　　退出：按ESC键后，接着再输入：号时，vi会在屏幕的最下方等待我们输入命令。

　　wq-保存退出；

　　q-不保存退出；

linux服务器系统日志如何通过命令压缩移到别的磁盘

1、首先需要将迁移的目的盘的原有分区抹除，重新分区成与现有分区完全一致的分区，主分区大小可以不一致，boot分区和swap分区尽量一致。分区可以用fdisk工具。当然也需要写入文件系统，文件系统类型也保持一致。这些工作完成以后，将主分区挂载到当前系统的/mnt目录下。接下来可以通过tar工具进行打包了，具体的命令为sudotar-xzvfparchlinux.tar.gz--exclude=/proc--exclude=/sys--exclude=/run--exclude=/tmp--exclude=/lost+found--exclude=/mnt/
2、进入安装盘环境之后，挂载目的盘，包括主分区和boot分区。然后使用genfstab-U/mnt》/mnt/etc/fstab命令重新生成fstab。之后arch-chroot进入系统，通过grub-mkconfig》/boot/grub/grub.cfg和grub-instal--target=x86_64-efi--efi-directory=/boot

Linux系统被入侵后使用lsof命令恢复被删除日志的方法

Linux系统是服务器最常见的操作系统，当然也面临着非常多的安全事件，相较Windows操作系统，Linux采用了明确的访问权限控制和全面的管理工具，具有非常高的安全性和稳定性。Linux系统被入侵后，攻击者为了掩盖踪迹，经常会清除系统中的各种日志，包括Web的access和error日志、last日志、message日志、secure日志等，给我们后期应急响应和取证分析带来了非常大的阻力。所以，恢复被清除的日志是非常重要的取证和分析环节，一下是使用lsof命令恢复日志文件的案例，适用于常见的日志恢复工作。
   一、前提条件
***隐藏网址***
二、实施过程
1. 找到相关进程pid
代码如下:
# lsof | grep access_log
***隐藏网址***
***隐藏网址***
***隐藏网址***
***隐藏网址***
***隐藏网址***
***隐藏网址***
***隐藏网址***
***隐藏网址***
***隐藏网址***
这里我们重点关注一下第一、第二、第三、第四列，分别表示进程名、pid、用户、文件描述符，我们看到这里的文件描述符是7w，所以我们在下一步操作过程要记住这个7.
2. 找回日志
代码如下:
# wc -l /proc/1392/fd/7
55 /proc/1392/fd/7
***隐藏网址***
我们先通过wc或者tail命令查看日志信息，然后再将日志重写到access_log中即可。
三、总结
在Linux系统的/proc 分区下保存着进程的目录和名字，包含fd(文件描述符)和其下的子目录(进程打开文件的链接)，那么如果删除了一个文件，还存在一个 inode的引用：/proc/进程号/fd/文件描述符。我们只要知道当前打开文件的进程pid和文件描述符fd就能利用lsof工具列出进程打开的文件。通过lsof我们就可以进行简单的文件恢复工作，当然这里不局限于日志文件，只要是存在引用的文件。