linux系统日志解析

Linux系统中的日志子系统对于系统安全来说非常重要，它记录了系统每天发生的各种各样的事情，包括那些用户曾经或者正在使用系统，可以通过日志来检查错误发生的原因，更重要的是在系统受到黑客攻击后，日志可以记录下攻击者留下的痕迹，通过查看这些痕迹，系统管理员可以发现黑客攻击的某些手段以及特点，从而能够进行处理工作，为抵御下一次攻击做好准备。

　　在Linux系统中，有三类主要的日志子系统:

　　● 连接时间日志: 由多个程序执行，把记录写入到/var/log/wtmp和/var/run/utmp，login等程序会更新wtmp和utmp文件，使系统管理员能够跟踪谁在何时登录到系统。

　　● 进程统计: 由系统内核执行，当一个进程终止时，为每个进程往进程统计文件（pacct或acct）中写一个记录。进程统计的目的是为系统中的基本服务提供命令使用统计。

　　● 错误日志: 由syslogd（8）守护程序执行，各种系统守护进程、用户程序和内核通过syslogd（3）守护程序向文件/var/log/messages报告值得注意的事件。另外有许多Unix程序创建日志。像HTTP和FTP这样提供网络服务的服务器也保持详细的日志。

常用的日志文件如下：

 

access-log 纪录HTTP/web的传输  　　acct/pacct 纪录用户命令  　　aculog 纪录MODEM的活动  　　btmp 纪录失败的纪录  　　lastlog 纪录最近几次成功登录的事件和最后一次不成功的登录  　　messages 从syslog中记录信息（有的链接到syslog文件）  　　sudolog 纪录使用sudo发出的命令  　　sulog 纪录使用su命令的使用  　　syslog 从syslog中记录信息（通常链接到messages文件）  　　utmp 纪录当前登录的每个用户  　　wtmp 一个用户每次登录进入和退出时间的永久纪录  　　xferlog 纪录FTP会话

下面是日志级别

1.emerg
紧急 - 系统无法使用。
"Child cannot open lock file. Exiting"
2.alert
必须立即采取措施。
"getpwuid: couldn’t determine user name from uid"
3.crit
致命情况。
"socket: Failed to get a socket, exiting child"
4.error
错误情况。
"Premature end of script headers"
5.warn
警告情况。
"child process 1234 did not exit, sending another SIGHUP"
6.notice
一般重要情况。
"httpd: caught SIGBUS, attempting to dump core in ..."
7、info
普通信息。
"Server seems busy, (you may need to increase StartServers, or Min/MaxSpareServers)..."
8.debug
出错级别信息
"Opening config file ..."
当指定了特定级别时，任何级别高于他的信息也会同时报告。比如说，当指定了LogLevel info时，任何 notice和warn级别的信息也会被记录。

utmp、wtmp和lastlog日志文件是多数重用UNIX日志子系统的关键--保持用户 登录进入和退出的纪录。有关当前登录用户的信息记录在文件utmp中；登录进入和退出纪录在文件wtmp中；最后一次登录文件可以用lastlog命令察 看。数据交换、关机和重起也记录在wtmp文件中。所有的纪录都包含时间戳。这些文件（lastlog通常不大）在具有大量用户的系统中增长十分迅速。例 如wtmp文件可以无限增长，除非定期截取。许多系统以一天或者一周为单位把wtmp配置成循环使用。它通常由cron运行的脚本来修改。这些脚本重新命 名并循环使用wtmp文件。通常，wtmp在第一天结束后命名为wtmp.1；第二天后wtmp.1变为wtmp.2等等，直到wtmp.7。

每次有一个用户登录时，login程序在文件lastlog中察看用户的UID。如果找到了， 则把用户上次登录、退出时间和主机名写到标准输出中，然后login程序在lastlog中纪录新的登录时间。在新的lastlog纪录写入后，utmp 文件打开并插入用户的utmp纪录。该纪录一直用到用户登录退出时删除。utmp文件被各种命令文件使用，包括who、w、users和finger。

下一步，login程序打开文件wtmp附加用户的utmp纪录。当用户登录退出时，具有更新时间戳的同一utmp纪录附加到文件中。wtmp文件被程序last和ac使用。

进程统计

linux可以跟踪每个用户运行的每条命令，如果想知道昨晚弄乱了哪些重要的文件，进程 统计子系统可以告诉你。它对还跟踪一个侵入者有帮助。与连接时间日志不同，进程统计子系统缺省不激活，它必须启动。在Linux系统中启动进程统计使用 accton命令，必须用root身份来运行。Accton命令的形式accton file，file必须先存在。先使用touch命令来创建pacct文件：touch /var/log/pacct，然后运行accton： accton /var/log/pacct。一旦accton被激活，就可以使用lastcomm命令监测系统中任何时候执行的命令。若要关闭统计，可以使用不带任何 参数的accton命令。

lastcomm命令报告以前执行的文件。不带参数时，lastcomm命令显示当前统计文件生命周期内纪录的所有命令的有关信息。包括命令名、用户、tty、命令花费的CPU时间和一个时间戳。如果系统有许多用户，输入则可能很长。下面的例子就体现了这点：

 

crond F root ?? 0.00 secs Sun Aug 20 00:16  　　promisc_check.s S root ?? 0.04 secs Sun Aug 20 00:16  　　promisc_check root ?? 0.01 secs Sun Aug 20 00:16  　　grep root ?? 0.02 secs Sun Aug 20 00:16  　　tail root ?? 0.01 secs Sun Aug 20 00:16  　　sh root ?? 0.01 secs Sun Aug 20 00:15  　　ping S root ?? 0.01 secs Sun Aug 20 00:15  　　ping6.pl F root ?? 0.01 secs Sun Aug 20 00:15  　　sh root ?? 0.01 secs Sun Aug 20 00:15  　　ping S root ?? 0.02 secs Sun Aug 20 00:15  　　ping6.pl F root ?? 0.02 secs Sun Aug 20 00:15  　　sh root ?? 0.02 secs Sun Aug 20 00:15  　　ping S root ?? 0.00 secs Sun Aug 20 00:15  　　ping6.pl F root ?? 0.01 secs Sun Aug 20 00:15  　　sh root ?? 0.01 secs Sun Aug 20 00:15  　　ping S root ?? 0.01 secs Sun Aug 20 00:15  　　sh root ?? 0.02 secs Sun Aug 20 00:15  　　ping S root ?? 1.34 secs Sun Aug 20 00:15  　　locat