查看分析日志文件、root密码不记得了，那应该怎么解决这些问题

下面我来讲解一下概念以及应该怎么做：

查看分析日志文件

一、主要日志文件

♣ 内核及系统日志：这种日志数据由系统服务rsyslog统一管理，根据其主配置文件 /etc/rsyslog.conf 中的设置决定将内核消息及各种系统程序信息记录到什么位置。系统中有 相当一部分程序会把自己的日志文件交由rsyslog服务管理，因而这些系统程序使用的日志文件也具有相似的格式。

♣ 用户日志：这种日志数据用于记录linux操作系统用户登录及退出系统的相关信息，包括用户名、登录的终端、登录时间、来源主机、正在使用的进程操作系统等。

♣ 程序日志：有些应用程序会选择由自己独立管理一份日志文件（而不是交给rsyslog服务管理），用于记录本程序运行过程中的各种时间信息。由于这些程序只负责管理自己的日志文件，所以不同程序所使用的日志格式可能存在较大的差异。

linux操作系统本身以及大部分服务器程序的日志文件都会放在、/var/log/目录下。一部分程序共用一个日志文件，一部分程序使用单个儿日志文件，而有些大型服务器程序由于日志文件不止一个，所以会在/var/log/目录中建立相应的纸目录来存放日志文件，这样既保证了日志文件目录的结构清晰，又可以快速定位日志文件。有相当一部分日志文件只有root用户才有权限读取，这样保证了相关日志信息的安全性。

对于linux中的日志文件，有必要了解一下各自的用途，这样才能在需要的时候更快找到问题所在，及时解决各种故障。下面来介绍常用的日志文件：

♣ /var/log/messages：记录linux内核消息及各种应用程序的公共日志信息，包括启动、I/O错误、网络错误、程序故障等。对于未使用的独立日志文件的应用程序或服务，一般可以从该日志文件中获得相关的事件记录信息。（后面都会放图，就不每各日志目录都说了）因为输出太多了找不到最上面我输入的命令了我直接在最下面敲了出来：命令  cat（查看）（以后都不把cat的介绍放出来了）结合起来就是：

cat /var/log/messages

♣ /var/log/cron：记录crond计划任务产生的事件信息。

cat /var/log/cron

♣ /var/log/dmesg：记录linux操作系统在引导过程中的各种事务信息。

cat /var/log/dmesg

♣ /var/log/maillog：记录进入或发出系统的电子邮件活动。

cat /var/log/maillog

♣ /var/log/lastlog：记录每个用户最近的登录事件。

cat /var/log/lastlog

♣ /var/log/secure：记录与用户认证相关的安全事件信息。

cat /var/log/secure

♣ /var/log/wtmp：记录每个用户登录、注销及系统启动和停机事件。

cat /var/log/wtmp

♣ /var/log/btmp：记录失败的、错误的登录尝试及验证事件。

二、分析日志文件

熟悉系统中的主要日志文件后，下面将介绍日志文件的分析方法。分析日志文件的目的在于通过浏览日志查找关键信息、对系统服务进行调试，以及判断发生故障的原因等。下面主要介绍3类日志文件的基本格式和分析方法。

对于大多数文本格式的日志文件（如内核及系统日志、大多数的程序日志）只要使用tail、more、less、cat等文本处理工具就可以查看日志内容。而对于一些二进制格式的日志文件（如用户日志），则需要使用特定的查询命令。

1.内核及系统日志

内核及系统日志功能主要由默认安装的rsyslog-7.4.7-16.e17.x86_64.rpm软件包提供。rsyslog服务所使用的配置文件为/etc/rsyslog.conf。通过查看/etc/rsyslog.conf文件中的内容，可以了解系统默认的日志设置，如下：

grep -v “^$” /etc/rsyslog.conf                //过滤空行

从/etc/rsyslog.conf配置文件中可以看到，受rsyslogd服务管理的日志文件都是linux操作系统中的主要日志文件，它们记录了linux操作系统中内核、用户认证、电子信息、计划任务等基本的系统信息。在linux内核中，根据日志消息的重要程度不同，可以将其分为不同的优先级别（数字等级越小，优先级越高，消息越重要）。

♣       0     EMERG（紧急）：会导致主机不可用的情况。

♣       1     ALERT（警告）：必须马上采取措施解决的问题。

♣       2     CRLT（严重）：比较严重的情况。

♣       3      ERR（错误）：运用出现错误。

♣       4      WARNING（提醒）：可能影响正常功能，需要提醒用户的重要事件。

♣       5      NOTICE（注意）：不会影响功能，但是需要注意的事件。

♣       6      INFO（信息）：一般信息。

♣       7      DEBUG（调试）：程序或系统调试信息等。

一般来说我们注意0-3的消息就好，4、5的说明我们还能轻松处理，0-3是最重要的消息

内核及大多数信息被记录到/var/log/maessages公共文件中，而其他一些程序消息被记录到各自独立的日志文件中，此外，日志消息还能够被记录到特定的储存设备中，或者直接发送给指定用户。执行以下命令可以查看/var/log/messages文件的内容。

more /var/log/messages（注：这是不同于我上面的方法查看，在linux里有很多种查看文件的命令）

对于对于rsyslog服务同一管理的大部分日志文件，使用的日志记录格式基本相同。以/var/log/messages公共日志文件的记录格式为例，其中每行表示一条日志消息，每条消息包括以下44个字段：

♣   时间标签：消息发出的日期和事件。

♣   主机名：生成消息的计算机的名称。

♣   子系统名称：发出消息的应用程序的名称。

♣   消息：消息的具体内容。

在有些情况下，可以设置rsyslog，使其在把日志信息记录到文件的同时将日志信息发送到打印机进行打印，这样无论网络入侵者怎样修改日志都不能清除入侵的痕迹。rsyslog日志服务是一个经常被攻击的显著目录，破坏了它会使管理员难以发现入侵及入侵的痕迹，因此要特别注意监控其守护进程及配置文件。

2.用户日志

在wtmp、btmp、lastlog等日志文件中，保存了与系统用户登录、退出等相关的事件消息。但是这些文件都是二进制的数据文件，不能直接使用tail、less等文本查看工具进行浏览，需要使用“who”、“w”、“users”、“last”和“lastb”等用户查询命令来获取日志信息。

1）查询当前的用户情况——“users”、“who”和“w”命令

“users”命令只是简单地输出当前登录的用户名称，每个显示的用户对应一个登录会话。如果一个用户不止一个登录会话，那么他的用户名将显示与其相同的次数：

users

(这边我多开了两个窗口，再加上这个界面以及centos虚拟机界面）

“who”命令用于报告当前登录到系统中的每个用户的信息。使用该命令，系统管理员可以查看当前系统存在哪些不合法用户，从而对其进行审计和处理。“who”命令的默认输出包括用户名、终端类型、登陆日期及远程主机：

who

“w”命令用于显示当前系统中的每个用户及其所运行的进程信息，比“users”和“who”命令的输出内容要丰富一些：

w

2）查询用户登录的历史记录——“last”和“lastb”命令

“last”命令用于查询成功登录系统的用户记录，最近的登录情况将显示在最前面。通过“last”命令可以及时掌握linux主机的登录情况，若发现有未授权的用户登录过，则表示当前主机可能已被入侵。“last”命令的具体操作如下：

last

“lastb”命令用于查询登录失败的用户记录，如登录的用户名错误、密码不正确登情况都将被记录在案。登录失败的情况属于安全事件，因此这表示可能有人在尝试破解你的密码。除使用“lastb”命令查看登录失败的用户记录外，也可以直接从/var/log/secure安全日志文件中获得相关信息。

lastb

tail  /var/log/secure

从这里可以看到我在登录root用户时，使用的是ssh远程登录的， 没有输错记录

3.程序日志

在linux操作系统中，还有相当一部分应用程序没有使用rsyslog 服务来管理日志，而是由程序本身来维护日志记录。列如，httpd网站服务程序使用两个日志文件access_log和error_log分别记录客户访问事件和错误事件。不同于应用程序的日志记录格式差别较大，且没有严格使用统一的格式，这里不再做详细介绍。

总的来说，作为一名合格的系统管理员（我都不是哈），应该提高警惕，随时注意各种可疑状况，定期并随机检查，各种系统日志文件，包括一般信息日志，网络连接日志、文件传输日志及用户登录日志记录等。在检查这些日志时，要注意是否有不合常理的时间或操作记录。列如出现以下现象就应该多加注意：

♣ 用户在非常规的时间登录，或者用户登录系统的IP地址和以往的不一样。

♣ 用户登录失败的日志记录，尤其是那些一再连续尝试进入失败的日志记录。

♣ 非法使用或不正当使用超级用户权限。

♣ 无故或非法重新启动不正当使用超级用户权限。

♣ 不正常的日志记录，如日志残缺不全，或者是诸如wtmp这样的日志文件无故缺少了中间的记录文件。

假设忘记了root密码

重启centos 7 并在启动界面点“e”

往下找到linux16开头的

在末尾加上rd.break  (Linux16)

rd.break的作用在于：从initramfs向实际系统移交控制权前，该操作会中断

然后CTRL+X

进入交换模式以后输入下列指令：

mount  -o remount,rw /sysroot

chroot /sysroot

passwd 密码

touch   /.autorelable   （确保所有未标记的文件（包括此时的/etc/shadow））在启动过程都会重新获得标记。

exit

reboot重启