日志分析

1.日志

• 通常已.log结尾，secure.log
• linux系统日志通常在/var/log下 linux核心日志路径： Linux默认核心日志 说明 ==/var/log/secure(麒麟，红帽系统) /var/log/auth.log （debian,ubt)== 用户登录情况，分析错误，分析正确 /var/log/messages(麒麟，红帽系统) /var/log/syslog（debian,ubt) 通用日志（服务） 服务如果没有单独的日志，一般就会记录到这里面。 ……
• [ ] 英语单词：failures，failure， failed， 失败
• [ ] ​ error 错误
• [ ] secure，auth，，，，，messages，syslog

2.查看日志命令

注：使用tail,head,less,more,grep查看不要用cat,vim.

2.1.grep 过滤命令

grep ‘sshd’ /var/log/secure ###过滤出带有sshd的行

选项参数	解释
–color	添加颜色
-i	不区分大小写
-n	显示行号
-v	取反，排除

• 排除（取反）/etc/ssh/sshd_config文件中的#(井号)

grep -v '#'  /etc/ssh/sshd_config

• 不区分大小写过滤出 /etc/ssh/sshd_config 文件中包含port的行并输出行号

grep  --color  -i -n  'port'   /etc/ssh/sshd_config 

2.2.head

• 查看文件开头的内容，10行。

 head /etc/passwd        ###默认不添加参数，默认输出10行
 head -10 /etc/passwd

2.3.tail

• 文件结尾的数据。默认查看文件末尾10行。

tail -n20   /var/log/secure      ###查看文件最后的20行
tail -20    /var/log/secure      ###查看文件最后的20行

• 查看文件末尾的实时更新，实时日志

tail -f /var/log/secure      ###  tailf /var/log/secure

2.4.less,more

• 按页查看文件内容 例子：less /etc/serivces

下一页： 空格或ctrl + f 
上一页：      ctrl + b
第1行:       g
最后一行:     G
某一行:      100回车
/搜索  
q 退出 

2.5.wc

• 统计行数，多与其他命令或管道符使用

[root@oldboyedu log]# wc secure
  206  2611 21280 secure

[root@oldboyedu log]# wc -l secure
  206 secure

1. 第一个数字 206 表示 文件中的行数。
2. 第二个数字 2611 表示文件中的单词数。
3. 第三个数字 21280 表示 文件中的字符数。

行—–单词—–字符（从小到大）

3日志统计

3.1 管道符 |

• 前1个命令执行后输出，通过管道符号，传递给下一个命令使用
• 把grep筛选的结果通过管道符给wc

[root@oldboyedu log]# grep 'ssh' /var/log/secure  |  wc -l
102

• ps -ef 显示linux进程的命令，linux进程数量

ps -ef |wc -l

• ps -ef 显示linux进程的命令，统计/sbin/sshd进程数量（远程连接服务的进程）

ps -ef | grep '/sbin/sshd' |wc -l 

3.2 rz和sz

• 用于虚拟机通过xshell上传与下载使用的命令
• 没有的话需要使用yum install -y lrzsz
• 命令说明：
  rz 上传 rz回车即可或拖拽
  sz 下载 sz /etc/hostname 下载指定的文件。

3.3 日志分析搭档sort,uniq

sort选项	解释
-r	逆序排序
-n	按照数字形式排序
-k	-k指定列，

例如：

[root@oldboyedu ~]# sort -rnk1  /var/log/a/num.txt    ###  逆序+按照数字排序+排列第一列
324325464
4365546
57878
2134
65
65
56
9
2

[root@oldboyedu ~]# sort -nk1  /var/log/a/num.txt     ###  不加n默认正序+按照数字排序+排列第一列
2
9
56
65
3554
09999
57878
4546124
324325464
[root@oldboyedu ~]# 

3.4 其他命令free -h，unzip，ps aux，ps -ef

1）free -h

• 显示当前系统内存的使用情况
• -h 以人类可读显示（K，M，G）

2）ps aux 和 ps -ef

• [ ] 两个命令都是看进程的，差不多
• 列出系统中当前运行的所有进程
• 显示系统中所有进程的详细信息

3）unzip解压.zip

unzip  secure-20161219.zip    #解压到当前目录。