日志文件保存在 /var/log 和 /var/run 目录下。在 RedHat 7 中，系统日志消息由两个服务负责处理，它们是 systemd-journald 和 rsyslogd。
日志的保存时间系统默认是4周，可以通过 cat /etc/logrotate.conf 里面的一项参数查到。rotate 可以修改。
主要日志文件介绍：
/var/log/messages：系统日志，主要记录内核和公共消息。
/var/log/cron：计划执行任务日志。
/var/log/dmesg：系统引导日志。
/var/log/maillog：邮件日志。
/var/log/lastlog：用户登录日志。（用 lastlog 命令）
/var/log/boot.log：系统启动日志。
/var/log/secure：安全和身份验证日志 。
/var/log/wtmp：记录所有用户登录的详细信息。（用 last 命令）
/var/log/btmp：记录失败的登录记录（用 lastb 命令）
/var/run/utmp：用户登录、注销及系统开、关等事件。（用 w / who 命令）
（wtmp、btmp 和 utmp 是二进制文件，不能用cat、vi、tail、more这些命令打开查看）
1、/var/log/messages：系统日志，主要记录内核和公共消息。
1）、messages 信息项包括：事件发生的日期和时间、主机，终端名、进程 和 事件日志。
2）、红色下划线：systemctl restart sshd 重启 sshd 服务。
黄色下划线：tail /var/log/messages 查看 messages 日志。
蓝色方框：messages 日志已经可以查到重启 sshd 服务的记录。
绿色下划线：每个动作都记录得很清楚。暂停中（Stopping）、已暂停（Stopped）、启动中（Starting） 和 已启动（Started）
2、/var/log/cron：计划执行任务日志。
1）、cron 信息项包括：事件发生的日期和时间、主机，终端名、进程 和 事件日志。
2）、cron 保存的是计划任务的日志，我们也可以通过特定输出查看计划进程的一些规律。从中也可以梳理一下计划任务的概念。好像 run-parts(/etc/cron.hourly) 进程，基本都是从开机开始，整点 1 个小时就执行一次。一次由两个事件为一组，一条 starting 0anacron ，另一条 finished 0anacron。
输入 grep run-parts'('/etc/cron.hourly')' 的时候，（）括号需要用单引号引起来。
CROND进程，基本上也是从开机开始，整点 1 个小时就执行一次。
run-parts(/etc/cron.daily) 进程每天开机执行一次。一次由四个事件为一组，四个事件里面有两个事件是对应关系。starting man-db.cron 对应 finished man-db.cron，starting logrotate 对应 finished logrotate。
从 cron 日志知道系统的计划任务什么时候触发，执行了什么事件，产生了什么信息。
3、/var/log/dmesg：系统引导日志，显示硬件相关的信息。
head -20 dmesg | nl 列出开头 20 行信息。
4、/var/log/maillog：邮件日志。
红色下划线：tail maillog 查看 maillog 后 10 行信息。
黄色下划线：starting the Postfix mail system 启动 Postfix 邮件系统。daemon started 守护进程启动完成。
maillog 记录的信息都是和邮件有关。
5、/var/log/lastlog：记录所有用户登录最后一次登录本系统的时间信息。用 lastlog 读取信息。lastlog 的几列内容：Username（用户名）、Port（端口）、From（登录IP）、Latest（最后登录时间）。
系统用户是调用系统当中一些特殊服务的用户，不能登录系统（所以它们的登录状态都是显示“**Never logged in**”从来没有登录）。能够登录系统的只有 root 和 新建的普通用户。
6、/var/log/boot.log：系统启动日志。
head /var/log/boot.log 列出头 10 条系统启动的信息（内容较长，里面记录了多次启动的信息）。
通过 3 次的重启，查看 boot.log 大小。每重启一次文件的容量就会增大。也证明了每次启动都会往 boot.log 这个文件写信息。
7、/var/log/secure：安全和身份验证日志 。
tail secure 列出 secure 文件最后 10 行信息。通过 secure 的信息可以发现记录的是安全相关的信息，记录最多的是哪些用户登录服务器的相关日志。
黄色下划线：Failed password for root —— root 的密码错误。
红色下划线：Accepted password for root —— 密码正确，root 用户接受的密码。
绿色下划线：pam_unix(sshd:session): session opened for user root —— 为 root 用户建立会话。
8、/var/log/wtmp：记录所有用户登录的详细信息。一个二进制文件，不能用cat、vi、tail、more这些命令打开查看。用 last 命令查看。last 作用是显示近期用户或终端登录的情况（包括：登录、注销及系统的启动、停机的事件。因此随着系统正常运行时间的增加，该文件的大小也会越来越大，）
last -n 10 —— -n 跟一个数字，指定显示最近登录的数据。（或者 last -10 一样效果）
显示的内容有六列：
第一列：用户名。
第二列：终端位置。（pts/0 伪终端，SSH 或 telnet 等工具远程连接的用户，tty0 直接连接到计算机或本地连接的用户，后面的数字代表连接编号）。
第三列：登录 IP 或 内核。（如果是 0.0 或者 什么都没有，意味着用户通过本地终端连接，除了启动活动，内核版本会显示在状态中）。
第四列：开始时间。
第五列：结束时间。（still、login in 尚未推出，down 直到正常关机，crash 直到强制关机）。
第六列：持续时间。
9、/var/log/btmp：记录失败的登录记录，主要查看错误的登录信息。一个二进制文件，不能用cat、vi、tail、more这些命令打开查看。用 lastb 命令查看。
lastb -n 10 —— -n 跟一个数字，指定显示最近登录的数据。（或者 lastb -10 一样效果）
显示的内容有六列：
第一列：用户名。
第二列：终端位置。（连接失败：notty）。
第三列：登录 IP。
第四列：开始时间。
第五列：结束时间。
第六列：持续时间。
10、/var/run/utmp：用户登录、注销及系统开、关等事件。一个二进制文件，不能用cat、vi、tail、more这些命令打开查看。用 w / who 命令查看。
w 命令：查看登录者的信息及行为。
第一行：系统当前时间、系统没有中断持续性的运行时间、当前登录用户数、CPU在之前 1 分钟、5分钟、15分钟的平均负载。
USER： 登录用户名。
TTY：登录后系统分配的终端号。（tty：物理机本机终端、pts：远程终端）
FROM：远程主机名 IP。（tty 物理机本机不显示、pts 远程终端会显示 IP）
LOGIN@ ：登录时间。
IDLE：用户闲置时间 。这是个计时器，用户执行任何 *** 作，计时器就会被重置。（这里显示的时间是距离上次命令 *** 作后多久没有进行 *** 作的闲置时间）
JCPU：执行命令进程所消耗的总时间。 终端连接的所有进程占用时间，包括当前正在运行作业占用的时间。
PCPU：当前进程所消耗 CPU 的时间。
WHAT：用户正在运行的进程 或 命令。（-bash 进程是终端进程）
who 命令：显示关于当前在本地系统上的所有用户信息。who 和 w 差不多，who 显示的内容更为简洁。who 命令显示以下内容：登录名、tty、登录日期 和 时间。如果用户是从远程终端登录的，那么该终端的 IP 也会显示出来。
11、whoami：显示自己的登录用户。
Linux系统日志文件存放在/var/log下/var/log/cron 记录了系统定时任务相关的日志；
/var/log/cups 记录打印信息的日志；
/var/log/dmesg 记录了系统在开机时内核自检的信息，也可以使用dmesg命令直接查看内核自检信息。
/var/log/btmp 记录错误登录的日志，这个文件是二进制文件，不能直接vi查看，而要使用lastb命令查看；
/var/log/lastlog 记录系统中所有用户最后一次的登录时间的日志。这个文件也是二进制文件，不能直接vi，而要使用lastlog命令查看。
/var/log/mailog 记录邮件信息；
/var/log/message 记录系统重要信息的日志，记录Linux系统的绝大多数重要信息，如果系统出现问题，首先要检查的就是应该是这个日志文件；
/var/log/secure 记录验证和授权方面的信息，只要涉及账户和密码的程序都会记录。比如说系统的登录，ssh的登录，su切换用户，sudo授权，甚至添加用户和修改用户密码；
/var/log/wtmp 永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。同样这个文件也是一个二进制文件不能直接vi而需要使用last命令来查看；
/var/run/utmp 记录当前已经登录的用户的信息。这个文件会随着用户的登录和注销而不断变化，只记录当前登录用户的信息，同样这个文件不能直接vi，要使用w，who，users等命令；
Linux常见的日志文件详述如下1、/var/log/boot.log（自检过程）
2、/var/log/cron （crontab守护进程crond所派生的子进程的动作）
3、/var/log/maillog （发送到系统或从系统发出的电子邮件的活动）
4、/var/log/syslog （它只记录警告信息，常常是系统出问题的信息，所以更应该关注该文件）
要让系统生成syslog日志文件，
在/etc/syslog.conf文件中加上：*.warning /var/log/syslog
该日志文件能记录当用户登录时login记录下的错误口令、Sendmail的问题、su命令执行失败等信息
5、/var/run/utmp
该日志文件需要使用lastlog命令查看
6、/var/log/wtmp
（该日志文件永久记录每个用户登录、注销及系统的启动、停机的事件）
last命令就通过访问这个文件获得这些信息
7、/var/run/utmp
（该日志文件记录有关当前登录的每个用户的信息） 《Linux就该这么学》 一起学习linux
8、/var/log/xferlog
（该日志文件记录FTP会话，可以显示出用户向FTP服务器或从服务器拷贝了什么文件）
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）