搜索

[24242] 2015-08-31_在Linux中使用日志来排错

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2015-08-31_在Linux中使用日志来排错 在   L i n u x   中 使 用 日 志 来 排 错 原 创   s t r u g g l   L i n u x 中 国   2 0 1 5 - 0 8 - 3 1 人 们 创 建 日 志 的 主 要 原 因 是 排 错 。 通 常 你 会 诊 断 为 什 么 问 题 发 生 在 你 的   L i n u x   系 统 或 应 用 程 序 中 。 错 误 信 息 或 一 系 列 的 事 件 可 以 给 你 提 供 找 出 根 本 原 因 的 线 索 ， 说 明 问 题 是 如 何 发 生 的 ， 并 指 出 如 何 解 决 它 。 这 里 有 几 个 使 用 日 志 来 解 决 的 样 例 。 登 录 失 败 原 因 如 果 你 想 检 查 你 的 系 统 是 否 安 全 ， 你 可 以 在 验 证 日 志 中 检 查 登 录 失 败 的 和 登 录 成 功 但 可 疑 的 用 户 。 当 有 人 通 过 不 正 当 或 无 效 的 凭 据 来 登 录 时 会 出 现 认 证 失 败 ， 这 通 常 发 生 在 使 用   S S H   进 行 远 程 登 录 或   s u   到 本 地 其 他 用 户 来 进 行 访 问 权 时 。 这 些 是 由 插 入 式 验 证 模 块 （ P A M ） 来 记 录 的 。 在 你 的 日 志 中 会 看 到 像   F a i l e d   p a s s w o r d   和   u s e r   u n k n o w n   这 样 的 字 符 串 。 而 成 功 认 证 记 录 则 会 包 括 像   A c c e p t e d   p a s s w o r d   和   s e s s i o n   o p e n e d   这 样 的 字 符 串 。 失 败 的 例 子 : 成 功 的 例 子 ： 你 可 以 使 用   g r e p   来 查 找 哪 些 用 户 失 败 登 录 的 次 数 最 多 。 这 些 都 是 潜 在 的 攻 击 者 正 在 尝 试 和 访 问 失 败 的 账 户 。 这 是 一 个 在   u b u n t u   系 统 上 的 例 子 。 由 于 没 有 标 准 格 式 ， 所 以 你 需 要 为 每 个 应 用 程 序 的 日 志 使 用 不 同 的 命 令 。 日 志 管 理 系 统 ， 可 以 自 动 分 析 日 志 ， 将 它 们 有 效 的 归 类 ， 帮 助 你 提 取 关 键 字 ， 如 用 户 名 。 日 志 管 理 系 统 可 以 使 用 自 动 解 析 功 能 从   L i n u x   日 志 中 提 取 用 户 名 。 这 使 你 可 以 看 到 用 户 的 信 息 ， 并 能 通 过 点 击 过 滤 。 在 下 面 这 个 例 子 中 ， 我 们 可 以 看 到 ， r o o t   用 户 登 录 了   2 7 0 0   次 之 多 ， 因 为 我 们 筛 选 的 日 志 仅 显 示   r o o t   用 户 的 尝 试 登 录 记 录 。 日 志 管 理 系 统 也 可 以 让 你 以 时 间 为 做 坐 标 轴 的 图 表 来 查 看 ， 使 你 更 容 易 发 现 异 常 。 如 果 有 人 在 几 分 钟 内 登 录 失 败 一 次 或 两 次 ， 它 可 能 是 一 个 真 正 的 用 户 而 忘 记 了 密 码 。 但 是 ， 如 果 有 几 百 个 失 败 的 登 录 并 且 使 用 的 都 是 不 同 的 用 户 1 .   p a m _ u n i x ( s s h d : a u t h ) :   a u t h e n t i c a t i o n   f a i l u r e ;   l o g n a m e =   u i d = 0   e u i d = 0   t t y = s s h   r u s e r =   r h o s t = 1 0 . 0 . 2 . 2 2 .   F a i l e d   p a s s w o r d   f o r   i n v a l i d   u s e r   h o o v e r   f r o m   1 0 . 0 . 2 . 2   p o r t   4 7 9 1   s s h 2 3 .   p a m _ u n i x ( s s h d : a u t h ) :   c h e c k   p a s s ;   u s e r   u n k n o w n 4 .   P A M   s e r v i c e ( s s h d )   i g n o r i n g   m a x   r e t r i e s ;   6   >   3 1 .   A c c e p t e d   p a s s w o r d   f o r   h o o v e r   f r o m   1 0 . 0 . 2 . 2   p o r t   4 7 9 2   s s h 2 2 .   p a m _ u n i x ( s s h d : s e s s i o n ) :   s e s s i o n   o p e n e d   f o r   u s e r   h o o v e r   b y   ( u i d = 0 ) 3 .   p a m _ u n i x ( s s h d : s e s s i o n ) :   s e s s i o n   c l o s e d   f o r   u s e r   h o o v e r 1 .   $   g r e p   " i n v a l i d   u s e r "   / v a r / l o g / a u t h . l o g   |   c u t   - d   '   '   - f   1 0   |   s o r t   |   u n i q   - c   |   s o r t   - n r 2 .   2 3   o r a c l e 3 .   1 8   p o s t g r e s 4 .   1 7   n a g i o s 5 .   1 0   z a b b i x 6 .   6   t e s t
名 ， 它 更 可 能 是 在 试 图 攻 击 系 统 。 在 这 里 ， 你 可 以 看 到 在 3 月 1 2 日 ， 有 人 试 图 登 录   N a g i o s   几 百 次 。 这 显 然 不 是 一 个 合 法 的 系 统 用 户 。 重 启 的 原 因 有 时 候 ， 一 台 服 务 器 由 于 系 统 崩 溃 或 重 启 而 宕 机 。 你 怎 么 知 道 它 何 时 发 生 ， 是 谁 做 的 ？ 关 机 命 令 如 果 有 人 手 动 运 行   s h u t d o w n   命 令 ， 你 可 以 在 验 证 日 志 文 件 中 看 到 它 。 在 这 里 ， 你 可 以 看 到 ， 有 人 从   I P   5 0 . 0 . 1 3 4 . 1 2 5   上 作 为   u b u n t u   的 用 户 远 程 登 录 了 ， 然 后 关 闭 了 系 统 。 内 核 初 始 化 如 果 你 想 看 看 服 务 器 重 新 启 动 的 所 有 原 因 （ 包 括 崩 溃 ） ， 你 可 以 从 内 核 初 始 化 日 志 中 寻 找 。 你 需 要 搜 索 内 核 类 （ k e r n e l ） 和   c p u   初 始 化 （ I n i t i a l i z i n g ） 的 信 息 。 检 测 内 存 问 题 有 很 多 原 因 可 能 导 致 服 务 器 崩 溃 ， 但 一 个 常 见 的 原 因 是 内 存 用 尽 。 当 你 系 统 的 内 存 不 足 时 ， 进 程 会 被 杀 死 ， 通 常 会 杀 死 使 用 最 多 资 源 的 进 程 。 当 系 统 使 用 了 所 有 内 存 ， 而 新 的 或 现 有 的 进 程 试 图 使 用 更 多 的 内 存 时 就 会 出 现 错 误 。 在 你 的 日 志 文 件 查 找 像   O u t   o f   M e m o r y   这 样 的 字 符 串 或 类 似   k i l l   这 样 的 内 核 警 告 信 息 。 这 些 信 息 表 明 系 统 故 意 杀 死 进 程 或 应 用 程 序 ， 而 不 是 允 许 进 程 崩 溃 。 例 如 : 你 可 以 使 用 像   g r e p   这 样 的 工 具 找 到 这 些 日 志 。 这 个 例 子 是 在   u b u n t u   中 : 请 记 住 ， g r e p   也 要 使 用 内 存 ， 所 以 只 是 运 行   g r e p   也 可 能 导 致 内 存 不 足 的 错 误 。 这 是 另 一 个 你 应 该 中 央 化 存 储 日 志 的 原 因 ！ 定 时 任 务 错 误 日 志 c r o n   守 护 程 序 是 一 个 调 度 器 ， 可 以 在 指 定 的 日 期 和 时 间 运 行 进 程 。 如 果 进 程 运 行 失 败 或 无 法 完 成 ， 那 么   c r o n   的 错 误 出 现 在 你 的 日 志 文 件 中 。 具 体 取 决 于 你 的 发 行 版 ， 你 可 以 在   / v a r / l o g / c r o n ， / v a r / l o g / m e s s a g e s ， 和   / v a r / l o g / s y s l o g 几 个 位 置 找 到 这 个 日 志 。 c r o n   任 务 失 败 原 因 有 很 多 。 通 常 情 况 下 ， 问 题 出 在 进 程 中 而 不 是   c r o n   守 护 进 程 本 身 。 默 认 情 况 下 ， c r o n   任 务 的 输 出 会 通 过   p o s t f i x   发 送 电 子 邮 件 。 这 是 一 个 显 示 了 该 邮 件 已 经 发 送 的 日 志 。 不 幸 的 是 ， 你 不 能 在 这 里 看 到 邮 件 的 内 容 。 你 可 以 考 虑 将   c r o n   的 标 准 输 出 记 录 到 日 志 中 ， 以 帮 助 你 定 位 问 题 。 这 是 一 个 你 怎 样 使 用   l o g g e r   命 令 重 定 向   c r o n   标 准 输 出 到   s y s l o g 的 例 子 。 用 你 的 脚 本 来 代 替   e c h o   命 令 ， h e l l o C r o n   可 以 设 置 为 任 何 你 想 要 的 应 用 程 序 的 名 字 。 它 创 建 的 日 志 条 目 ： 1 .   M a r   1 9   1 8 : 3 6 : 4 1   i p - 1 7 2 - 3 1 - 1 1 - 2 3 1   s s h d [ 2 3 4 3 7 ] :   A c c e p t e d   p u b l i c k e y   f o r   u b u n t u   f r o m   5 0 . 0 . 1 3 4 . 1 2 5   p o r t   5 2 5 3 8   s s h 2 .   M a r   1 9   1 8 : 3 6 : 4 1   i p - 1 7 2 - 3 1 - 1 1 - 2 3 1   2 3 4 3 7 ] : s s h d [   p a m _ u n i x ( s s h d : s e s s i o n ) :   s e s s i o n   o p e n e d   f o r   u s e r   u b u n t u   b y   ( u i d = 0 ) 3 .   M a r   1 9   1 8 : 3 7 : 0 9   i p - 1 7 2 - 3 1 - 1 1 - 2 3 1   s u d o :       u b u n t u   :   T T Y = p t s / 1   ;   P W D = / h o m e / u b u n t u   ;   U S E R = r o o t   ;   C O M M A N D = / s b i n / s h u t d o w n   - r   n o w 1 .   M a r   1 9   1 8 : 3 9 : 3 0   i p - 1 7 2 - 3 1 - 1 1 - 2 3 1   k e r n e l :   [         0 . 0 0 0 0 0 0 ]   I n i t i a l i z i n g   c g r o u p   s u b s y s   c p u s e t 2 .   M a r   1 9   1 8 : 3 9 : 3 0   i p - 1 7 2 - 3 1 - 1 1 - 2 3 1   k e r n e l :   [         0 . 0 0 0 0 0 0 ]   I n i t i a l i z i n g   c g r o u p   s u b s y s   c p u 3 .   M a r   1 9   1 8 : 3 9 : 3 0   i p - 1 7 2 - 3 1 - 1 1 - 2 3 1   k e r n e l :   [         0 . 0 0 0 0 0 0 ]   L i n u x   v e r s i o n   3 . 8 . 0 - 4 4 - g e n e r i c   ( b u i l d d @ t i p u a )   ( g c c   v e r s i o n   4 . 6 . 3   ( U b u n t u / L i n a r o   4 . 6 . 3 - 1 u b u n t u 5 )   )   # 6 6 ~ p r e c i s e 1 - U b u n t u   S M P   T u e   J u l   1 5   0 4 : 0 1 : 0 4   U T C   2 0 1 4   ( U b u n t u   3 . 8 . 0 - 4 4 . 6 6 ~ p r e c i s e 1 - g e n e r i c   3 . 8 . 1 3 . 2 5 ) 1 .   [ 3 3 2 3 8 . 1 7 8 2 8 8 ]   O u t   o f   m e m o r y :   K i l l   p r o c e s s   6 2 3 0   ( f i r e f o x )   s c o r e   5 3   o r   s a c r i f i c e   c h i l d 2 .   [ 2 9 9 2 3 4 5 0 . 9 9 5 0 8 4 ]   s e l e c t   5 2 3 0   ( d o c k e r ) ,   a d j   0 ,   s i z e   7 0 8 ,   t o   k i l l 1 .   $   g r e p   “ O u t   o f   m e m o r y ”   / v a r / l o g / s y s l o g 2 .     [ 3 3 2 3 8 . 1 7 8 2 8 8 ]   O u t   o f   m e m o r y :   K i l l   p r o c e s s   6 2 3 0   ( f i r e f o x )   s c o r e   5 3   o r   s a c r i f i c e   c h i l d 1 .   M a r   1 3   1 6 : 3 5 : 0 1   P S Q 1 1 0   p o s t f i x / p i c k u p [ 1 5 1 5 8 ] :   C 3 E D C 5 8 0 0 B 4 :   u i d = 1 0 0 1   f r o m = < h o o v e r > 2 .   M a r   1 3   1 6 : 3 5 : 0 1   P S Q 1 1 0   p o s t f i x / c l e a n u p [ 1 5 7 2 7 ] :   C 3 E D C 5 8 0 0 B 4 :   m e s s a g e - i d = < 2 0 1 5 0 3 1 0 1 1 0 5 0 1 . C 3 E D C 5 8 0 0 B 4 @ P S Q 1 1 0 > 3 .   M a r   1 3   1 6 : 3 5 : 0 1   P S Q 1 1 0   p o s t f i x / q m g r [ 1 5 1 5 9 ] :   C 3 E D C 5 8 0 0 B 4 :   f r o m = < h o o v e r @ l o g g l y . c o m > ,   s i z e = 6 0 7 ,   n r c p t = 1   ( q u e u e   a c t i v e ) 4 .   M a r   1 3   1 6 : 3 5 : 0 5   P S Q 1 1 0   p o s t f i x / s m t p [ 1 5 7 2 9 ] :   C 3 E D C 5 8 0 0 B 4 :   t o = < h o o v e r @ l o g g l y . c o m > ,   r e l a y = g m a i l - s m t p - i n . l . g o o g l e . c o m [ 7 4 . 1 2 5 . 1 3 0 . 2 6 ] : 2 5 ,   d e l a y = 4 . 1 ,   d e l a y s = 0 . 2 6 / 0 / 2 . 2 / 1 . 7 ,   d s n 1 .   * / 5   *   *   *   *   e c h o   ‘ H e l l o   W o r l d ’   2 > & 1   |   / u s r / b i n / l o g g e r   - t   h e l l o C r o n 1 .   A p r   2 8   2 2 : 2 0 : 0 1   i p - 1 7 2 - 3 1 - 1 1 - 2 3 1   C R O N [ 1 5 2 9 6 ] :   ( u b u n t u )   C M D   ( e c h o   ' H e l l o   W o r l d ! '   2 > & 1   |   / u s r / b i n / l o g g e r   - t   h e l l o C r o n ) 2 .   A p r   2 8   2 2 : 2 0 : 0 1   i p - 1 7 2 - 3 1 - 1 1 - 2 3 1   h e l l o C r o n :   H e l l o   W o r l d !
每 个   c r o n   任 务 将 根 据 任 务 的 具 体 类 型 以 及 如 何 输 出 数 据 来 记 录 不 同 的 日 志 。 希 望 在 日 志 中 有 问 题 根 源 的 线 索 ， 也 可 以 根 据 需 要 添 加 额 外 的 日 志 记 录 。 v i a :   h t t p : / / w w w . l o g g l y . c o m / u l t i m a t e - g u i d e / l o g g i n g / t r o u b l e s h o o t i n g - w i t h - l i n u x - l o g s / 作 者 ： J a s o n   S k o w r o n s k i   作 者 ： A m y   E c h e v e r r i   作 者 ： S a d e q u l   H u s s a i n   译 者 ： s t r u g g l i n g y o u t h   校 对 ： w x y 本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理