聲明：能自由轉(zhuǎn)載本文，但請務(wù)必保留本文的完整性。
作者：張子堅(jiān)
說明：本文所涉及示例均在
fedora core3下得到。日志文件由系統(tǒng)日志和內(nèi)核日志監(jiān)視程式syslogd和klogd控制,在/etc/syslog.conf文件中設(shè)置這兩個監(jiān)視程式默認(rèn)活動。 日志文件按/etc/syslog.conf設(shè)置文件中的描述進(jìn)行組織。下圖是/etc/syslog.conf文件的內(nèi)容：
[root@localhost ~]# cat /etc/syslog.conf
# Log all kernel messages to the console.
# Logging much else clutters up the screen.
#kern.* /dev/console
# Log anything (except mail) of level info or higher.
# Don’t log private authentication messages!
*.info;mail.none;authpriv.none;cron.none /var/log/messages
# The authpriv file has restricted access.
authpriv.* /var/log/secure
# Log all the mail messages in one place.
mail.* -/var/log/maillog
# Log cron stuff
cron.* /var/log/cron
# Everybody gets emergency messages
*.emerg *
# Save news errors of level crit and higher in a special file.
uucp,news.crit /var/log/spooler
# Save boot messages also to boot.log
local7.* /var/log/boot.log
/etc/syslog.conf文件
syslog.conf行的基本語法是：
[消息類型][處理方案]
注意：中間的分隔符必須是Tab字符！
消息類型是由"消息來源"和"緊急程度"構(gòu)成，中間用點(diǎn)號連接。例如上圖中，news.crit表示來自news的“關(guān)鍵”狀況。在這里，news是消息來源，crit代表關(guān)鍵狀況。通配符*能代表一切消息來源。
說明：
第一條語句*.info，將info級以上（notice,warning,err,crit,alert和emerg）的所有消息發(fā)送到相應(yīng)日志文件。
日志文件類別（按重要程度分類）
日志文件能分成八大類，下面按重要性從大到下列出：
emerg emergency，緊急
alert 警報(bào)
crit critical，關(guān)鍵
err error，錯誤
warning 警告
notice 通知
info 信息
debug 調(diào)試
簡單列一下消息來源auth 認(rèn)證系統(tǒng)，如login或su，即詢問用戶名和口令
cron 系統(tǒng)執(zhí)行定時任務(wù)時發(fā)出的信息
daemon 某些系統(tǒng)的守護(hù)程式的 syslog，如由in.ftpd產(chǎn)生的log
kern 內(nèi)核的信息
lpr 打印機(jī)的信息
mail 處理郵件的守護(hù)進(jìn)程發(fā)出的信息
mark 定時發(fā)送消息的時標(biāo)程式
news 新聞組的守護(hù)進(jìn)程的信息
user 本地用戶的應(yīng)用程式的信息
uucp uucp子系統(tǒng)的信息
* 表示所有可能的信息來源
處理方案
"處理方案"選項(xiàng)能對日志進(jìn)行處理。能把他存入硬盤，轉(zhuǎn)發(fā)到另一臺機(jī)器或顯示在管理員的終端上。
處理方案一覽：
文件名 寫入某個文件，要注意絕對路徑。
@主機(jī)名 轉(zhuǎn)發(fā)給另外一臺主機(jī)的syslogd程式。
@IP地址 同上，只是用IP地址標(biāo)識而已。
/dev/console 發(fā)送到本地機(jī)器屏幕上。
* 發(fā)送到所有用戶的終端上。
|程式 通過管道轉(zhuǎn)發(fā)給某個程式。
例如：
kern.emerg
/dev/console(一旦發(fā)生內(nèi)核的緊急狀況，即時把信息顯示在控制臺上)
說明：
如果想修改syslogd的記錄文件，首先你必須殺掉syslogd進(jìn)程，在修改完畢后再啟動syslogd。攻擊者進(jìn)入系統(tǒng)后通常即時修改系統(tǒng)日志，因此作為網(wǎng)管你應(yīng)該用一臺機(jī)器專門處理日志信息，其他機(jī)器的日志自動轉(zhuǎn)發(fā)到他上面，這樣日志信息一旦產(chǎn)生就即時被轉(zhuǎn)移，這樣就能正確記錄攻擊者的行為。
將日志文件記錄到遠(yuǎn)程主機(jī) 如果有另一個Linux或UNIX系統(tǒng)，那么能設(shè)置日志文件，讓其把消息發(fā)到另外一個系統(tǒng)并記錄下來。這也是為什么上面的所有日志文件都記錄了主機(jī)名的原因。要實(shí)現(xiàn)這個功能，在該設(shè)置文件中，指定一個記錄動作，后面接一個由“@”開頭的遠(yuǎn)程系統(tǒng)的主機(jī)名，如下例：*.warn; authpriv.notice;auth.notice @bright.hacker.com.cn
同時，還要將接受消息的目的系統(tǒng)設(shè)置為允許這種操作。此例主機(jī)bright.hacker.com.cn的syslogd守護(hù)進(jìn)程要用-r參數(shù)啟動。如果不使用-r參數(shù)，則目標(biāo)主機(jī)的syslogd將丟棄這個消息以避免DoS攻擊使硬盤塞滿虛假消息。并且確保目標(biāo)主機(jī)的 /etc/service文件必須設(shè)置syslog服務(wù)所使用的UDP端口514。如果syslogd守護(hù)進(jìn)程用了-r和-h參數(shù)，那么，參數(shù)-h將允許轉(zhuǎn)發(fā)消息。也就是說，如果系統(tǒng)B的syslogd用了-h 參數(shù)，這樣，當(dāng)系統(tǒng)A把消息轉(zhuǎn)發(fā)到系統(tǒng)B后，系統(tǒng)B就把來自系統(tǒng)A和他自己的消息轉(zhuǎn)發(fā)到系統(tǒng)C。
將警告信息發(fā)送到控制臺 syslogd能將所有從內(nèi)核發(fā)出的重要程度為emerg或alert的信息發(fā)送到控制臺?？刂婆_是指虛擬控制臺或啟動時加-C參數(shù)的xterm。要實(shí)現(xiàn)這一功能，在/etc/syslog.conf文件中加上下面一行：kern.emerg /dev/console 。
這樣，當(dāng)系統(tǒng)內(nèi)核發(fā)生錯誤而發(fā)出消息時，用戶能夠馬上知道并且進(jìn)行處理。如果用了“*”，就是一旦內(nèi)核發(fā)生錯誤，就將消息發(fā)送給所有在線用戶，但只有這個用戶正在登錄的時候才能看到。修改了/etc/syslog.conf文件后，必須重新啟動syslogd守護(hù)進(jìn)程以使設(shè)置更改生效，請執(zhí)行下面的命令：#/etc/rc.d/init.d/syslog restart。
系統(tǒng)日志大多數(shù)日志位于/var/log目錄中。日志通過標(biāo)準(zhǔn)cron任務(wù)logrotate維護(hù)，每周輪換日志文件。這樣，/var/log/boot.log.1文件是上周的文件。
下圖是我的fedora core3 /var/log目錄中的內(nèi)容：
[root@localhost var]# ls /var/log
acpid cups maillog.1 scrollkeeper.log vbox
anaconda.log dmesg messages secure welcome.msg
anaconda.syslog gdm messages.1 secure.1 wtmp
boot.log iiim ppp spooler Xorg.0.log
boot.log.1 lastlog prelink.log spooler.1 Xorg.0.log.old
cron mail rpmpkgs up2date
cron.1 maillog rpmpkgs.1 up2date.1
/var/log目錄中的內(nèi)容
/var/log中的系統(tǒng)日志
下面看看/var/log目錄中的系統(tǒng)日志。dmesg文件包括和Linux啟動相關(guān)的基本引導(dǎo)信息。message文件包括計(jì)算機(jī)上啟動Linux之后的其他處理消息。boot.log文件列出和監(jiān)視程式啟動和停止相關(guān)的消息。wtmp能幫助監(jiān)視登錄。
dmesg內(nèi)容
這個文件末尾更有一個關(guān)鍵項(xiàng)目：Linux是否正確裝載了文件系統(tǒng)和交換空間。如果裝載成功，則我的Fedoar core3能看到如下消息：
EXT3 FS on hda10, internal journal
Adding 626524k swap on /dev/hda3. Priority:-1 extents:1
kjournald starting. Commit interval 5 seconds
表示Linux分區(qū)上成功地裝載了帶內(nèi)部雜志的ext3文件系統(tǒng)。kjournal監(jiān)視程式（kjournald）實(shí)際更新文件系統(tǒng)雜志。
/var/log/messages消息/var/log/messages中記錄了和硬件和服務(wù)相關(guān)聯(lián)的其他消息。這個文件中每一行包括一些基本特征，如每個消息相關(guān)的日期，時間，主機(jī)名和服務(wù)。如果可能，還會列出用戶名和進(jìn)程標(biāo)識符。
分析/var/log/boot.log啟動和停止服務(wù)和監(jiān)視程式時，會在/var/log/boot.log中列出。下圖顯示此文件的內(nèi)容：
May 22 12:15:39 localhost syslog: syslogd startup succeeded
May 22 12:15:39 localhost syslog: klogd startup succeeded
May 22 12:15:39 localhost irqbalance: irqbalance startup succeeded
May 22 12:15:40 localhost portmap: portmap startup succeeded
May 22 12:15:40 localhost nfslock: rpc.statd startup succeeded
May 22 12:15:37 localhost sysctl: net.ipv4.conf.default.rp_filter = 1
May 22 12:15:37 localhost sysctl: net.ipv4.conf.default.accept_source_route = 0
May 22 12:15:37 localhost sysctl: kernel.sysrq = 0
May 22 12:15:40 localhost rpcidmapd: rpc.idmapd startup succeeded
May 22 12:15:37 localhost sysctl: kernel.core_uses_pid = 1
May 22 12:15:37 localhost network: Setting network parameters: succeeded
May 22 12:15:37 localhost network: Bringing up loopback interface: succeeded
May 22 12:15:40 localhost netfs: Mounting other filesystems: succeeded
May 22 12:15:41 localhost autofs: automount startup succeeded
May 22 12:15:41 localhost mDNSResponder: startup succeeded
May 22 12:15:42 localhost smartd: smartd startup succeeded
May 22 12:15:42 localhost acpid: acpid startup succeeded
May 22 12:15:44 localhost cups: cupsd startup succeeded
May 22 12:15:44 localhost sshd: succeeded
May 22 12:15:44 localhost xinetd: xinetd startup succeeded
May 22 12:15:45 localhost sendmail: sendmail startup succeeded
May 22 12:15:45 localhost sendmail: sm-client startup succeeded
May 22 12:15:45 localhost gpm: gpm startup succeeded
May 22 12:15:45 localhost iiim: htt startup succeeded
May 22 12:15:46 localhost crond: crond startup succeeded
May 22 12:15:47 localhost xfs: xfs startup succeeded
May 22 12:15:47 localhost anacron: anacron startup succeeded
May 22 12:15:47 localhost atd: atd startup succeeded
May 22 12:15:47 localhost readahead: Starting background readahead:
May 22 12:15:48 localhost rc: Starting readahead: succeeded
May 22 12:15:48 localhost messagebus: messagebus startup succeeded
May 22 12:15:48 localhost cups-config-daemon: cups-config-daemon startup succeeded
May 22 12:15:49 localhost haldaemon: haldaemon startup succeeded
May 22 13:20:59 localhost cups: cupsd shutdown succeeded
May 22 13:21:03 localhost cups: cupsd startup succeeded
/var/log/boot.log文件
這是5月22日的消息。
探測遠(yuǎn)程登錄
登錄記錄放在一個數(shù)據(jù)庫文件/var/log/wtmp中。能用utmpdump命令使這個文件變成可讀格式。以下圖為例，這是運(yùn)行utmpdump /var/log/wtmp的部分輸出。
[5] [02879] [4 ] [ ] [ ] [2.6.9-1.667 ] [0.0.0.0 ] [Mon May 22 12:15:49 2006 CST]
[6] [02909] [5 ] [LOGIN ] [tty5 ] [ ] [0.0.0.0 ] [Mon May 22 12:15:49 2006 CST]
[5] [02909] [5 ] [ ] [ ] [2.6.9-1.667 ] [0.0.0.0 ] [Mon May 22 12:15:49 2006 CST]
[5] [02920] [6 ] [ ] [ ] [2.6.9-1.667 ] [0.0.0.0 ] [Mon May 22 12:15:49 2006 CST]
[6] [02920] [6 ] [LOGIN ] [tty6 ] [ ] [0.0.0.0 ] [Mon May 22 12:15:50 2006 CST]
[5] [02921] [x ] [ ] [ ] [2.6.9-1.667 ] [0.0.0.0 ] [Mon May 22 12:15:50 2006 CST]
[7] [03397] [:0 ] [root ] [:0 ] [ ] [0.0.0.0 ] [Mon May 22 12:16:08 2006 CST]
[7] [03630] [/0 ] [root ] [pts/0 ] [:0.0 ] [0.0.0.0 ] [Mon May 22 12:26:34 2006 CST]
[7] [03700] [/0 ] [root ] [pts/0 ] [:0.0 ] [0.0.0.0 ] [Mon May 22 12:47:56 2006 CST]
[7] [04458] [/0 ] [root ] [pts/0 ] [:0.0 ] [0.0.0.0 ] [Mon May 22 13:55:24 2006 CST]
檢查登錄活動
說明：
應(yīng)該知道局域網(wǎng)的IP地址。如果在上圖中出現(xiàn)一些未知的IP地址，那么要當(dāng)心了，或許已有人入侵我們的系統(tǒng)了。
監(jiān)視程式日志
大多數(shù)Linux監(jiān)視程度都在/var/log目錄中配制日志文件，如crond,httpd和smbd。每個日志文件能顯示特定服務(wù)成功活失敗。下圖顯示的是/var/log/cron文件的內(nèi)容。
[root@localhost log]# cat /var/log/cron
May 22 13:23:29 localhost anacron[2721]: Job `cron.daily’ terminated
May 22 13:23:29 localhost anacron[2721]: Normal exit (1 jobs run)
May 22 14:01:01 localhost crond[4482]: (root) CMD (run-parts /etc/cron.hourly)
May 22 15:01:01 localhost crond[4536]: (root) CMD (run-parts /etc/cron.hourly)
/var/log/cron文件
從圖中能看出執(zhí)行cron任務(wù)的日期和時間。這是標(biāo)準(zhǔn)cron任務(wù)。盡管這里的時間和/etc/crontab中指定的不同，但這只表明這臺Linux計(jì)算機(jī)沒有在指定的時間運(yùn)行。
說明：
在Linux系統(tǒng)中增加更多監(jiān)視程式時，/var/log目錄中會出現(xiàn)更多日志文件。不過，日志文件也不一定放在/var/log目錄中，這是由每個監(jiān)視程式的配制文件確定的。
其他日志
在/var/log目錄中更有幾個其他日志文件。增加更多服務(wù)時，會出現(xiàn)更多日志文件。
