RedHat Linux常见日志文件及常用命令
| 文件中.wtmp文件被程序last使用.
/var/log/xferlog 该日志文件记录FTP会话,可以显示出用户向FTP服务器或从服务器拷贝了什么文件.该文件会显示用户拷贝到服务器上的用来入侵服务器的恶意程序,以及该用户拷贝了哪些文件供他使用. 该文件的格式为：第一个域是日期和时间,第二个域是下载文件所花费的秒数、远程系统名称、文件大小、本地路径名、传输类型(a：ASCII,b：二进制)、与压缩相关的标志或tar,或"_"(如果没有压缩的话)、传输方向(相对于服务器而言：i代表进,o代表出)、访问模式(a：匿名,g：输入口令,r：真实用户)、用户名、服务名(通常是ftp)、认证方法(l：RFC931,或0),认证用户的ID或"*".下面是该文件的一条记录：
edHat Linux默认没有记录该日志文件.要启用该日志文件,  在/etc/syslog.conf文件中添加一行：kern.* /var/log/kernlog .这样就启用了向/var/log/kernlog文件中记录所有内核消息的功能.该文件记录了系统启动时加载设备或使用设备的情况.一般是正常的操作,但如果记录了没有授权的用户进行的这些操作,就要注意, 有可能这就是恶意用户的行为.下面是该文件的部分内容：
该日志文件记录了X-Window启动的情况.另外,除了/var/log/外,恶意用户也可能在别的地方留下痕迹,应该注意以下几个地方：root和其他账户的shell历史文件;用户的各种邮箱,如.sent、mbox,以及存放在/var/spool/mail/ 和 /var/spool/mqueue中的邮箱;临时文件/tmp、/usr/tmp、/var/tmp;隐藏的目录;其他恶意用户创建的文件,通常是以"."开头的具有隐藏属性的文件等. 具体命令 wtmp和utmp文件都是二进制文件,它们不能被诸如tail之类的命令剪贴或合并(使用cat命令).用户需要使用who、w、users、last和ac等命令来使用这两个文件包含的信息. who命令 who命令查询utmp文件并报告当前登录的每个用户.who的默认输出包括用户名、终端类型、登录日期及远程主机.例如,键入who命令,然后按回车键,将显示如下内容：
如果指明了wtmp文件名,则who命令查询所有以前的记录.命令who /var/log/wtmp将报告自从wtmp文件创建或删改以来的每一次登录. w命令 w命令查询utmp文件并显示当前系统中每个用户和它所运行的进程信息.例如,键入w命令,然后按回车键,将显示如下内容：
|
||||
凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢! |
