Linux下误删secure文件，系统不记录日志问题

最新推荐文章于 2025-06-18 11:38:37 发布
最新推荐文章于 2025-06-18 11:38:37 发布
阅读量3.1k 收藏 1
点赞数 1
CC 4.0 BY-SA版权
分类专栏： Linux 文章标签： linux误删secure文件
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/SecondJanuary/article/details/21775199 
  • touch /var/log/secure
chmod 600 /var/log/secure
service sshd restart
service syslog(rsyslog) restart
  • 即：重建文件修改权限后要记得重启下服务
如何在 Linux 中迅速找到已被删除的文件
ZjbFullstack的博客
10-03 3087
在Linux中，当文件被删除时，我们仍有一些机会找回这些文件。使用数据恢复工具、extundelete工具或查找已删除的文件描述符等方法，可以帮助我们在某些情况下找回已删除的文件。然而，为了最大程度地提高成功恢复文件的可能性，我们应该尽早采取行动，并避免在删除后对磁盘进行写操作，以减少文件被覆盖的风险。成功恢复文件的可能性取决于文件被删除后所发生的情况，例如新文件的创建、磁盘使用情况等。在TestDisk的界面中，按照提示选择适当的磁盘和分区，然后使用"Undelete"选项来扫描并恢复已删除的文件。
带你更深入的了解Linux文件系统(超详细!)(inode号耗尽故障处理、恢复误删文件以及分析日志文件)
Xucf1
12-03 1234
文章目录一、inode耗尽故障处理1.准备2.模拟i节点耗尽故障3.修复故障二、恢复误删的文件1.准备（编译安装extundelete）2.模拟删除3.执行恢复操作三、xfs类型的文件备份和恢复1.概述2.命令格式3.常用选项4.使用限制5.操作步骤四、分析日志文件1.日志的功能2.日志的分类3.常见的日志文件4.日志文件分析5.内核及系统日志6.日志记录的一般格式7.用户日志分析8.程序日志分析9.日志管理策略（小结） 一、inode耗尽故障处理 之前我们学习过，每个文件与inode是相互对应的关系，
linux /var/log/secure 日志不记录问题
roaylchen的博客
02-12 1万+
前些天服务器被不断尝试暴力破解，禁止了root远程登录以及修改登录端口，然后删除了所有的/var/log/secure* 日志文件。 今天再来查看日志的时候，发现/var/log/secure竟然没有记录，上网看了之后才知道才直接删除日志文件的时候，对应的服务需要重启。 运行命令：service sshd restart  发现木有反应，好像还要重启一个syslog的服务，但是不知道为何这个
删除linux 日志,删除及设置linux日志笔记
weixin_39986178的博客
05-06 797
删除及设置日志笔记一、删除/var/log/secure(记录登入系统存取数据的文件，例如 pop3, ssh, telnet、ftp 等都会被记录)。1.先重启服务器，导出备份：/var/log/secure2.然后 删除日志　rm /var/log/secure3.重启服务器，启动程序。二、清理rflogview日志(启动日志、安全日志、用户日志、系统日志和邮件日志)。本次删除/var/lo...
Linux清空日志的五种方法
feifeigo123的博客
06-18 1085
logrotate是一个常用的日志管理工具，可以自动轮转、压缩和清理日志文件。echo命令可以将指定内容重定向到文件，使用空内容覆盖文件内容。cat命令可以将标准输入重定向到文件，使用空内容覆盖文件内容。truncate命令可以将文件截断为指定大小或清空文件内容。这些是在Linux中清空日志文件的五种常用方法。示例：清空名为logfile.log的日志文件。示例：清空名为logfile.log的日志文件。示例：清空名为logfile.log的日志文件。示例：清空名为logfile.log的日志文件。
linux /var/log/secure 文件中不记录登录日志
Jepson的博客
05-18 3696
发现centos服务器中，/var/log/secure 文件并未记录到用户的登录日志，重启 rsyslog和sshd服务后（重启命令：systemctl restart rsyslog；systemctl restart sshd ），仍未记录。发现 SyslogFacility 配置被注释掉了，去掉注释，重启启动sshd。
linux 文件已经删除，但是空间没有释放的原因
weixin_30877755的博客
08-02 185
　　监控系统报告一台服务器的空间满了，登陆后发现/tmp下有大量access_log文件，分析是Apache的日志文件很久没有清理了，确认并执行删除操作。 但是，问题来了，执行 rm /tmp/access_log 操作后，再次查看发现磁盘分区的空间并没有释放，这是怎么回事？ 　　经查阅资料发现： 当文件进程锁定，或者有进程一直在向这个文件写数据，就会出现这种删除文件后空间不释放的情况。...
Linux--文件系统深入理解与日志分析 理论+数据恢复实验（inode与block详解，软链接与硬链接详解与总结，误删文件恢复实验，日志文件分类与分析）
CN_TangZheng的博客
11-17 1974
在处理Linux系统出现的各种故障时，故障的症状是最容易发现的，而导致这一故障的原因才是最终排除故障的关键。 熟悉Linux系统中常见的日志文件，了解一般故障的分析与解决办法，将有助于管理员快速定位故障点，“对症下药”，及时解决各种系统问题。 inode和block详解 误删文件的恢复实验
linux7无法进入系统,记录一次断电导致centos7.4系统不能正常进入的解决方案
weixin_39969611的博客
04-28 1172
情况描述：园区意外断电，导致服务器centos7.4系统不能正常进入，一直卡在进度条界面，按esc或者f5能够看到详细的错误，主要有三个服务报错，如下图：chronyd、Postfix、polkit服务启动失败分析情况：这几个服务都是centos下常见的服务，chronyd是时间同步服务，Postfix是邮件服务，polkit是linux服务器上面的一种服务器方法进程，是不是最后一个服务失败导致系...
linux日志和文件分析
qq_64333664的博客
08-16 414
所以当用户在 Linux 系统中试图访问一个文件时，系统会先根据文件名去查找它对应的 inode 号码，通过 inode 号码获取 inode 信息，根据 inode 信息看该用户是否具有访问这个文件的权限，如果有就指向对应的数据 block，并读取数据。另一个是 inode 区，存放 inode 所包含的信息。假定在一块 1GB 的硬盘中，每个 inode 节点的大小为 128 字节，每 1KB 就设置一个 inode，那么 inode table 的大小就会达到 128MB，占整块硬盘的 12.8%。.
linux服务器异常掉电记录,记录一次断电导致centos7.4系统不能正常进入的解决方案...
weixin_27038245的博客
05-03 3375
情况描述：园区意外断电，导致服务器centos7.4系统不能正常进入，一直卡在进度条界面，按esc或者f5能够看到详细的错误，主要有三个服务报错，如下图：chronyd、Postfix、polkit服务启动失败分析情况：这几个服务都是centos下常见的服务，chronyd是时间同步服务，Postfix是邮件服务，polkit是linux服务器上面的一种服务器方法进程，是不是最后一个服务失败导致系...
/var/log/secure
Jonathan158的专栏
05-22 6926
按照我个人的理解，/var/log/secure 这个文件是记录服务器登陆行为的。那个文件如果很大，说明有人在破解你的root密码（一般是SSH暴力破解），可以通过这个日志查到对方的IP，每次登陆，无论密码对错都会被详细记录下来，所以文件会很大，解决办法是在/etc/hosts.deny 文件中加入IP，服务器就会拒绝这个IP的SSH登陆，语法： sshd:IP 如果对方频繁换IP，可以用
在遭到攻击后被删除/var/log/messages后恢复
bestlanzi的专栏
07-02 3059
linux是一个以文件为基础的操作系统，当主机被入侵，hack一定会把日志文件删除，但是极少有黑客会把你的主机关机。恢复/var/log/messages就很重要了。由于linux需要不停的记录日志，所以守护进程已将/var/log/messages加载到了内存。我们通过查看内存就能恢复该文件。以下是步骤。 1、查看/var/log/messages [root@bogon ~]# ll /va
关于一起linux secure安全日志写入异常分析处理
企业实战系列集 ●●● https://ximenjianxue.blog.youkuaiyun.com
05-20 1万+
一、问题描述 检查发现2022年5月份的secure日志里混入了2021年10月份的日志信息，很是不解。 二、分析出来 日志报错： sshd[17263]: Did not receive identification string from 192.168.1.1 #表1.1ssh本地主机建立连接时，返回时出现问题，认证信息丢弃 2）查看与绕行相关的日志，发现异常，日志被写入旧的脏数据 其中： The imjournal module bellow is now used as a
在Linux上恢复误删除的文件或目录
热门推荐
qq_40907977的博客
06-15 4万+
误删除Linux系统文件了？不用急，本文将给你一个恢复Linux文件的方法，让你轻松应对运维中的各风险问题。方法总比问题多~ 说在前面的话 针对日常维护操作，难免会出现文件误删除的操作。大家熟知Linux文件系统不同win有回收站，删除后的文件可以到垃圾箱寻回，要知道Linux文件修复比较费劲，网络上面的文档也是五花八门。所以本次研究一种比较靠谱的文件和目录恢复方法，也给维护人员留一条后路。 分析对比debugfs. testdisk 6.14. extundelete，对比各自官网介绍和操作说明本次决定研
linux刚删除的文件,Linux 下重要文件被删除？这样恢复！
weixin_34218582的博客
04-28 250
原标题：Linux 下重要文件被删除？这样恢复！ 针对日常维护操作，难免会出现文件误删除的操作。大家熟知linux文件系统不同win有回收站，删除后的文件可以到垃圾箱寻回，要知道linux文件修复比较费劲，网络上面的文档也是五花八门。所以本次研究一种比较靠谱的文件和目录恢复方法，也给维护人员留一条后路。分析对比debugfs. testdisk 6.14. extundelete，对比各自官网介绍...
Linux 文件系统与数据恢复及日志分析
LPFAM的博客
06-25 1043
文章目录前言一. inode与block1.1 inode与block 元信息1.2：inode的内容1.2.1：inode包含文件的元信息1.2.2 Linux系统文件三个主要的时间属性1.2.3 目录文件的结构1.2.4：inode的号码1.2.5：文件存储小结1.2.6：inode的大小1.2.7：inode的特殊作用二：硬链接与软链接2.1：硬链接2.2：软链接2.3：软链接与硬链接总结三：恢复误删除的文件3.1：实验：恢复XFS类型的文件3.1.1：xfsdump命令格式3.2：xfsd
网安事件处理
qq_52973916的博客
03-18 1603
1.首先通过分析报警，流量分析，日志来收集所发生事故的信息，判断是什么病毒什么样的事故2.按优先级别给事故分级3.然后抑制攻击范围，阻止受害面扩大，封ip、联系厂商能否下线、关系统4.检查启动项 服务 进程 敏感文件 违规账号 结合everything 看新增加的文件新更改的文件5.放到设备里扫一下有没有后门 修补漏洞 打补丁 增加安全策略6.恢复业务系统7.溯源8.写报告①访问控制：确保只有授权用户可以访问您的系统、应用程序或数据。使用密码策略、访问权限配置、实现双因素认证等技术手段。②系统更新：及时对操
linux/unix恢复删除的文件
weixin_34026484的博客
06-05 499
当Linux计算机受到***时，常见的情况是日志文件被删除，以掩盖***者的踪迹。管理错误也可能导致意外删除重要的文件，比如在清理旧日志时，意外地删除了数据库的活动事务日志。有时可以通过lsof来恢复这些文件。当进程打开了某个文件时，只要该进程保持,打开该文件，即使将其删除，它依然存在于磁盘中。这意味着，进程并不知道文件已经被删除，它仍然可以向打开该文件时提供给它的文件描述符...
如何查看/var下的大文件
最新发布
07-18
<think>我们正在解决用户的问题：如何查找/var目录下占用空间较大的文件 根据之前的引用内容，我们知道/var目录下包含多个子目录，其中/var/log是日志文件的主要存放位置，但也可能其他目录如/var/cache, /var/lib等占用较大空间。 因此，我们需要在/var目录下查找大文件或大目录。 解决方案： 1. 使用du命令查看/var目录下各个子目录的磁盘使用情况，排序找出最大的几个目录。 2. 使用find命令直接查找/var目录下的大文件。 具体步骤： 步骤1：查看/var目录下各个子目录的磁盘使用情况 我们可以使用以下命令来查看/var目录下各个一级子目录的大小，并按大小排序： sudo du -sh /var/* | sort -rh | head -n 10 这个命令会列出/var下所有子目录（和文件）的大小，并按人类可读的格式显示（-h），然后按大小逆序排序（-r表示逆序，-h表示按人类可读的数字排序），最后显示前10行。 步骤2：深入分析特定子目录 如果发现某个子目录特别大，比如/var/log，我们可以进一步进入该目录进行分析： cd /var/log sudo du -sh * | sort -rh | head -n 10 步骤3：直接查找大文件 我们也可以在整个/var目录下查找大于指定大小的文件，例如查找大于100MB的文件： sudo find /var -type f -size +100M -exec ls -lh {} \; 2>/dev/null | sort -k5 -rh 解释： - find /var: 在/var目录下查找 - -type f: 只查找文件 - -size +100M: 大小大于100MB - -exec ls -lh {} \;: 对每个找到的文件执行ls -lh命令，以显示详细信息（包括大小） 2>/dev/null: 忽略权限错误等 | sort -k5 -rh: 按照第5列（文件大小）进行逆序排序（-r表示逆序，-h表示按人类可读的大小排序） 注意：由于权限问题，有些文件可能无法访问，所以使用2>/dev/null来忽略错误信息。 步骤4：清理大文件（根据情况） 找到大文件后，需要判断是否可以清理。例如，如果是日志文件，且是旧日志，可以考虑删除或清空（注意使用正确的方法，如使用logrotate或手动删除）。 但注意：在清理之前，务必确认文件是否重要，尤其是系统文件。 根据引用内容，/var/log下常见的日志文件有： - /var/log/messages: 系统日志 - /var/log/secure: 安全日志 - /var/log/maillog: 邮件日志 - /var/log/cron: 计划任务日志 - /var/log/boot.log: 启动日志 对于这些日志文件，通常使用logrotate进行管理，但有时可能因为日志量剧增而占用大量空间。 另外，其他目录： - /var/cache: 应用程序缓存，可以清理（如yum缓存） - /var/lib: 存放程序数据，如数据库文件（如MySQL的数据文件可能在/var/lib/mysql），清理需谨慎 - /var/spool: 存放队列数据，如邮件队列 因此，在清理前，请确认文件的性质。 示例命令（清理/var/log下的旧日志）： sudo find /var/log -type f -name "*.log.*" -mtime +30 -exec rm -f {} \; 但更推荐使用日志轮转工具（logrotate）来管理日志。 步骤5：使用ncdu工具（可选） 如果系统安装了ncdu（一个基于ncurses的磁盘使用分析器），可以更直观地查看： sudo ncdu /var 安装ncdu（如果未安装）： CentOS: sudo yum install ncdu Ubuntu: sudo apt install ncdu 这个工具可以交互式地浏览目录，并显示每个目录的大小，方便定位。 总结步骤： 1. 使用du命令查看/var目录下各子目录的大小，找出占用最大的子目录。 2. 进入该子目录，继续使用du或ncdu分析。 3. 或者使用find命令直接查找大文件。 4. 根据文件类型和重要性决定是否清理。 注意：操作需要root权限，所以使用sudo。 下面给出具体命令示例：</think>### 如何在 Linux 系统中查看 /var 目录下的大文件 当 `/var` 目录占用空间过大时，可通过以下方法快速定位大文件。**操作前请务必使用 `ls -lh` 确认文件内容**，避免误删系统关键文件[^3]。 --- #### 方法 1：查看 /var 子目录大小（推荐） ```bash # 查看 /var 下所有子目录的大小（按降序排序） sudo du -sh /var/* | sort -rh | head -n 10 ``` **输出示例**： ``` 3.2G /var/log 2.1G /var/lib 1.5G /var/cache 800M /var/spool ... ``` **分析**： - `/var/log`：日志文件集中地（重点检查） - `/var/lib`：应用程序数据（如数据库文件） - `/var/cache`：软件缓存（可安全清理） - `/var/spool`：邮件和任务队列 --- #### 方法 2：直接查找大文件 ```bash # 查找 /var 下大于 100MB 的文件 sudo find /var -type f -size +100M -exec ls -lh {} \; 2>/dev/null | sort -k5 -rh ``` **关键参数**： - `-size +100M`：筛选大于 100MB 的文件 - `sort -k5 -rh`：按第 5 列（文件大小）逆序排序 - `2>/dev/null`：忽略权限错误提示 **典型大文件位置**： 1. **日志文件**（重点检查）： ```bash /var/log/messages # 系统主日志[^2] /var/log/secure # 安全登录日志[^2] /var/log/maillog # 邮件日志（可能超大） ``` 2. **缓存文件**： ```bash /var/cache/yum # yum 软件包缓存（可清理） /var/cache/apt # apt 软件包缓存（Ubuntu） ``` 3. **应用程序数据**： ```bash /var/lib/mysql # MySQL 数据库文件 /var/lib/docker # Docker 容器数据 ``` --- #### 方法 3：交互式可视化分析（ncdu） ```bash # 安装 ncdu 工具 sudo yum install ncdu # CentOS/RHEL sudo apt install ncdu # Ubuntu/Debian # 扫描 /var 目录 sudo ncdu /var ``` **操作指南**： 1. 进入界面后按 <kbd>↓</kbd> 选择目录 2. 按 <kbd>Enter</kbd> 进入子目录 3. 按 <kbd>d</kbd> 删除文件（谨慎操作） 4. 按 <kbd>q</kbd> 退出 --- ### 安全清理建议 1. **日志文件**： ```bash # 清理 30 天前的压缩日志 sudo find /var/log -name "*.gz" -mtime +30 -delete # 清空特定日志（保留文件句柄） sudo truncate -s 0 /var/log/mysqld.log ``` > 优先使用 `truncate` 而非 `rm`，避免服务崩溃[^2] 2. **软件缓存**： ```bash # CentOS/RHEL sudo yum clean all # Ubuntu/Debian sudo apt clean ``` 3. **邮件队列**： ```bash # 清理旧邮件队列 sudo find /var/spool/mqueue -type f -mtime +7 -delete ``` --- ### 防止再次占满 1. **配置日志轮转**： ```bash sudo vim /etc/logrotate.conf ``` 修改为： ```ini weekly # 每周轮转 rotate 8 # 保留 8 个备份 maxsize 100M # 超过 100MB 立即轮转 compress # 启用压缩 ``` 2. **设置定时清理**： ```bash # 每月 1 号清理旧日志 echo "0 0 1 * * root find /var/log -name '*.log.*' -mtime +90 -delete" | sudo tee /etc/cron.monthly/cleanlogs ``` > **重要提示**：数据库文件（如 `/var/lib/mysql`）请勿直接删除，需通过专业工具清理[^3]。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值