RedHat Linux常見的日志文件詳述如下
創(chuàng)新互聯(lián)公司長期為上千家客戶提供的網(wǎng)站建設服務，團隊從業(yè)經(jīng)驗10年，關注不同地域、不同群體，并針對不同對象提供差異化的產(chǎn)品和服務；打造開放共贏平臺，與合作伙伴共同營造健康的互聯(lián)網(wǎng)生態(tài)環(huán)境。為慶城企業(yè)提供專業(yè)的做網(wǎng)站、網(wǎng)站制作，慶城網(wǎng)站改版等技術服務。擁有十多年豐富建站經(jīng)驗和眾多成功案例,為您定制開發(fā)。
◆/var/log/boot.log
該文件記錄了系統(tǒng)在引導過程中發(fā)生的事件，就是Linux系統(tǒng)開機自檢過程顯示的信息。
◆/var/log/cron
該日志文件記錄crontab守護進程crond所派生的子進程的動作，前面加上用戶、登錄時間和PID，以及派生出的進程的動作。
CMD的一個動作是cron派生出一個調(diào)度進程的常見情況。
REPLACE（替換）動作記錄用戶對它的cron文件的更新，該文件列出了要周期性執(zhí)行的任務調(diào)度。
RELOAD動作在REPLACE動作后不久發(fā)生，這意味著cron注意到一個用戶的cron文件被更新而cron需要把它重新裝入內(nèi)存。
該文件可能會查到一些反常的情況。
◆/var/log/maillog
該日志文件記錄了每一個發(fā)送到系統(tǒng)或從系統(tǒng)發(fā)出的電子郵件的活動。
它可以用來查看用戶使用哪個系統(tǒng)發(fā)送工具或把數(shù)據(jù)發(fā)送到哪個系統(tǒng)。
該文件的格式是每一行包含日期、主機名、程序名，后面是包含PID或內(nèi)核標識的方括號、一個冒號和一個空格，最后是消息。
該文件有一個不足，就是被記錄的入侵企圖和成功的入侵事件，被淹沒在大量的正常進程的記錄中。
但該文件可以由/etc/syslog文件進行定制。
由/etc/syslog.conf配置文件決定系統(tǒng)如何寫入/var/messages。
有關如何配置/etc/syslog.conf文件決定系統(tǒng)日志記錄的行為，將在后面詳細敘述。
◆/var/log/syslog
默認RedHat Linux不生成該日志文件，但可以配置/etc/syslog.conf讓系統(tǒng)生成該日志文件。
它和/etc/log/messages日志文件不同，它只記錄警告信息，常常是系統(tǒng)出問題的信息，所以更應該關注該文件。
要讓系統(tǒng)生成該日志文件，在/etc/syslog.conf文件中加上：*.warning /var/log/syslog 該日志文件能記錄當用戶登錄時login記錄下的錯誤口令、Sendmail的問題、su命令執(zhí)行失敗等信息。
該日志文件記錄最近成功登錄的事件和最后一次不成功的登錄事件，由login生成。
在每次用戶登錄時被查詢，該文件是二進制文件，需要使用lastlog命令查看，根據(jù)UID排序顯示登錄名、端口號和上次登錄時間。
如果某用戶從來沒有登錄過，就顯示為"**Never logged in**"。
該命令只能以root權限執(zhí)行。
系統(tǒng)賬戶諸如bin、daemon、adm、uucp、mail等決不應該登錄，如果發(fā)現(xiàn)這些賬戶已經(jīng)登錄，就說明系統(tǒng)可能已經(jīng)被入侵了。
若發(fā)現(xiàn)記錄的時間不是用戶上次登錄的時間，則說明該用戶的賬戶已經(jīng)泄密了。
◆/var/log/wtmp
該日志文件永久記錄每個用戶登錄、注銷及系統(tǒng)的啟動、停機的事件。
因此隨著系統(tǒng)正常運行時間的增加，該文件的大小也會越來越大，增加的速度取決于系統(tǒng)用戶登錄的次數(shù)。
該日志文件可以用來查看用戶的登錄記錄，last命令就通過訪問這個文件獲得這些信息，并以反序從后向前顯示用戶的登錄記錄，last也能根據(jù)用戶、終端 tty或時間顯示相應的記錄。
命令last有兩個可選參數(shù)：
last -u 用戶名 顯示用戶上次登錄的情況。
last -t 天數(shù) 顯示指定天數(shù)之前的用戶登錄情況。
◆/var/run/utmp
該日志文件記錄有關當前登錄的每個用戶的信息。
因此這個文件會隨著用戶登錄和注銷系統(tǒng)而不斷變化，它只保留當時聯(lián)機的用戶記錄，不會為用戶保留永久的記錄。
系統(tǒng)中需要查詢當前用戶狀態(tài)的程序，如 who、w、users、finger等就需要訪問這個文件。
該日志文件并不能包括所有精確的信息，因為某些突發(fā)錯誤會終止用戶登錄會話，而系統(tǒng)沒有及時更新 utmp記錄，因此該日志文件的記錄不是百分之百值得信賴的。
以上提及的3個文件（/var/log/wtmp、/var/run/utmp、/var/log/lastlog）是日志子系統(tǒng)的關鍵文件，都記錄了用戶登錄的情況。
這些文件的所有記錄都包含了時間戳。
這些文件是按二進制保存的，故不能用less、cat之類的命令直接查看這些文件，而是需要使用相關命令通過這些文件而查看。
其中，utmp和wtmp文件的數(shù)據(jù)結構是一樣的，而lastlog文件則使用另外的數(shù)據(jù)結構，關于它們的具體的數(shù)據(jù)結構可以使用man命令查詢。
每次有一個用戶登錄時，login程序在文件lastlog中查看用戶的UID。
如果存在，則把用戶上次登錄、注銷時間和主機名寫到標準輸出中，然后login程序在lastlog中記錄新的登錄時間，打開utmp文件并插入用戶的utmp記錄。
該記錄一直用到用戶登錄退出時刪除。
utmp文件被各種命令使用，包括who、w、users和finger。
下一步，login程序打開文件wtmp附加用戶的utmp記錄。
當用戶登錄退出時，具有更新時間戳的同一utmp記錄附加到文件中。
wtmp文件被程序last使用。
◆/var/log/xferlog
該日志文件記錄FTP會話，可以顯示出用戶向FTP服務器或從服務器拷貝了什么文件。
該文件會顯示用戶拷貝到服務器上的用來入侵服務器的惡意程序，以及該用戶拷貝了哪些文件供他使用。
該文件的格式為：第一個域是日期和時間，第二個域是下載文件所花費的秒數(shù)、遠程系統(tǒng)名稱、文件大小、本地路徑名、傳輸類型（a：ASCII，b：二進制）、與壓縮相關的標志或tar，或"_"（如果沒有壓縮的話）、傳輸方向（相對于服務器而言：i代表進，o代表出）、訪問模式（a：匿名，g：輸入口令，r：真實用戶）、用戶名、服務名（通常是ftp）、認證方法（l：RFC931，或0），認證用戶的ID或"*"。
RedHat Linux默認沒有記錄該日志文件。
要啟用該日志文件，必須在/etc/syslog.conf文件中添加一行：kern.* /var/log/kernlog 。
這樣就啟用了向/var/log/kernlog文件中記錄所有內(nèi)核消息的功能。
該文件記錄了系統(tǒng)啟動時加載設備或使用設備的情況。
一般是正常的操作，但如果記錄了沒有授權的用戶進行的這些操作，就要注意，因為有可能這就是惡意用戶的行為。
該日志文件記錄了X-Window啟動的情況。
另外，除了/var/log/外，惡意用戶也可能在別的地方留下痕跡，應該注意以下幾個地方：root和其他賬戶的shell歷史文件；用戶的各種郵箱，如.sent、mbox，以及存放在/var/spool/mail/ 和 /var/spool/mqueue中的郵箱；臨時文件/tmp、/usr/tmp、/var/tmp；隱藏的目錄；其他惡意用戶創(chuàng)建的文件，通常是以"."開頭的具有隱藏屬性的文件等。
在Linux操作系統(tǒng)中，log文件代表著日志文件，就是記錄系統(tǒng)活動信息的文件，比如：某時、某IP、某時間、進行的某種操作等。此外，在Linux系統(tǒng)中，我們還可以通過tail、cat、tac、head等命令來查看日志，那么Linux系統(tǒng)中l(wèi)og文件是什么意思?本文為大家詳細解答一下。
Linux系統(tǒng)中l(wèi)og文件是什么意思?
在Linux中，log文件是指日志文件，是重要的系統(tǒng)信息文件，其中記錄了許多重要的系統(tǒng)事件，包括用戶的登錄信息、系統(tǒng)的啟動信息、系統(tǒng)的安全信息、郵件相關信息、各種服務相關信息等。這些信息有些非常敏感，所以在Linux中這些日志文件只有root用戶可以讀取。
log文件存放在/var/log/目錄下，該目錄是系統(tǒng)日志文件的保存位置;除此之外，采用RPM包方式安裝的系統(tǒng)服務也會默認把日志記錄在/var/log/目錄中。
Linux日志文件說明
①/var/log/messages：該文件記錄著服務器系統(tǒng)發(fā)生的所有錯誤信息或重要的信息，所以這個文件相當重要，如果系統(tǒng)發(fā)生莫名的錯誤時，這個文件是必查的日志文件之一。
②/var/log/secure：該文件記錄服務器牽扯到需要輸入賬號密碼的軟件，當?shù)侨霑r都會被記錄到這個文件中，包括系統(tǒng)的login程序、圖形界面登入所使用的gdm程序、su、sudo等程序，還有網(wǎng)絡遠程的ssh、telnet等程序，登入信息都會被記載。
③/var/log/maillog：該文件記錄服務器郵件的來往信息，其實主要記錄SMTP和POP3協(xié)議提供者所產(chǎn)生的信息。
④/var/log/cron：與定時任務相關的日志信息。
⑤/var/log/spooler：與UUCP和news設備相關的日志信息。
⑥/var/log/boot.log：守護進程啟動和停止相關的日志信息。
⑦/var/log/wtmp：該日志文件永久記錄每個用戶登錄、注銷及系統(tǒng)的啟動、停機的事件。
linux查看日志命令：
tail：
-n是顯示行號；相當于nl命令；例子如下：
tail -100f test.log實時監(jiān)控100行日志。
tail -n 10 test.log查詢?nèi)罩疚膊孔詈?0行的日志。
tail -n +10 test.log查詢10行之后的所有日志。
head：
跟tail是相反的，tail是看后多少行日志；例子如下：
head -n 10 test.log查詢?nèi)罩疚募械念^10行日志。
head -n -10 test.log查詢?nèi)罩疚募俗詈?0行的其他所有日志。
cat：
tac是倒序查看，是cat單詞反寫；例子如下：
cat -n test.log |grep "debug"查詢關鍵字的日志。
命令功能：
tail用于顯示指定文件末尾內(nèi)容，不指定文件時，作為輸入信息進行處理。常用于查看日志文件后多少行日志信息。
使用tail -f可以查看動態(tài)日志文件，tail -f filename可以把filename里最尾部的內(nèi)容顯示在屏幕上，并且不斷刷新，使你看到最新的文件內(nèi)容。
tail -n行數(shù)可以顯示指定行數(shù)信息。
重慶分公司
重慶分公司
