大家好,又见面了,我是你们的朋友全栈君。
目录
二、日志的种类和记录的方式-自定义 ssh 服务日志类型和存储位置
3)使用 /var/log/btmp 文件查看暴力激活成功教程系统的用户
一、计划任务-at-cron-计划任务使用方法
计划任务的作用:是做一些周期性的任务,在生产中的主要用来定期备份数据
CROND:这个守护进程是为了周期性执行任务或处理等待事件而存在
计划任务的安排方式分两种:
一种是定时性的,也就是例行。就是每隔一定的周期就要重复来做这个事情
一种是突发性的,就是这次做完了这个事,就没有下一次了,临时决定,只执行一次的任务
at 和 crontab 这两个命令:
at:它是一个可以处理仅执行一次就结束的指令
crontab:它是会把你指定的工作或任务,比如:脚本等,按照你设定的周期一直循环执行下去
1.at 计划任务的使用
语法格式: at 时间 ;服务:atd
1)查看atd服务是否开启
【】# systemctl start atd
【】# systemctl status atd
#查看是否开启服务
【】#systemctl display atd
#关闭服务
【】systemctl enable atd
#开启服务
【】# systemctl is-enabled atd
#设为开机自启
在 Centos6 查看开机启动服务:
【】# chkconfig –list | grep atd
实战-使用
2)at 创建计划任务
[root@localhost ~]# date
2018 年 05 月 21 日 星期一 20:43:29 CST
[root@localhost ~]# at 20:46
at> mkdir /tmp/localhost
at> touch /tmp/localhost/a.txt
at> <EOT>
ctrl <– 只能删除当前行
ctrl d 完成退出
【】# at -l
【】# atq
#查看定时任务 会提供序号
检查 at 计划任务运行结果:
【】# ls /tmp/localhost/
a.txt 1.2 查看和删除 at 将要执行的计划任务
【】# at -l
5 Sat Aug 19 20:50:00 2017 a root
任务编号 |
执行的时间 |
队列 |
执行者 |
5 | Fri Oct 28 20:55:00 2016 |
a |
root |
【】# at -c 5
3)查看定时任务内容
【】# ls /var/spool/at/
a00003018452cb a0000501845084 spool
【】# tail -5 /var/spool/at/a0000501845084
at 计划任务的特殊写法
【】# at 20:00 2018-10-1 在某天
【】# at now +10min 在 10 分钟后执行
【】# at 17:00 tomorrow 明天下午 5 点执行
【】# at 6:00 pm +3 days 在 3 天以后的下午 6 点执行
【】# at 23:00 < a.txt
4)删除 at 计划任务
语法: atrm 任务编号
【】# at -l
3 Tue May 22 08:43:00 2018 a root
5 Mon May 21 23:00:00 2018 a root
【】# atrm 5
【】# at -l
3 Tue May 22 08:43:00 2018 a root
也可删除 /var/spool/at/a000xxx
2.crontab 定时任务的使用
crond 命令定期检查是否有要执行的工作,如果有要执行的工作便会自动执行该工作
cron 是一个 linux 下的定时执行工具,可以在无需人工干预的情况下运行作业。
1)启动 crond 服务
【】# systemctl start crond
【】# systemctl enable crond
2)cron 命令参数介绍:
crontab 的选项:
crontab -u hr #指定 hr 用户的 cron 服务
crontab -l #列出当前用户下的 cron 服务的详细内容
crontab -u user1 -l #列出指定用户 mk 下的 cron 服务的详细内容
crontab -r #删除 cron 服务
crontab -e #编辑 cron 服务
例如:
crontab -u root -l
#root 查看自己的 cron 计划任务
crontab -u san -r
#root 想删除 san 的 cron 计划任务
3)cron -e 编辑时的语法
星期日用 0 或 7 表示
一行对应一个任务,特殊符号的含义:
* |
代表取值范围内的数字 |
(任意/每) |
/ |
指定时间的间隔频率 |
*/10 0-23/2 |
– |
代表从某个数字到某个数字 |
8-17 |
, |
分开几个离散的数字 |
6,10——13,20 |
4)创建计划任务
例 1:每天凌晨 2 点 1 分开始备份数据
[root@localhost spool]# crontab -e #添加计划任务
1 2 * * * tar zcvf /opt/grub2.tar.gz /boot/grub2
[root@localhost ~]# crontab -l #查看
例 2:以非 root 用户添加计划任务。 最好使用已经存在系统用户添加。这里使用 bin 用户来添加
[root@localhost ~]# crontab -u bin -e
*/1 * * * * echo “aaaaaaa” >> /tmp/bin.txt
排查:
[root@localhost ~]# crontab -u bin -l
*/1 * * * * echo “aaaaaaa” >> /tmp/bin.txt
如何
5)排查所有用户的计划任务
注:所有用户的计划任务,都会在/var/spool/cron/下产生对应的文件
[root@localhost ~]# ll /var/spool/cron/
total 8
-rw——- 1 root root 42 Nov 12 10:11 bin
-rw——- 1 root root 19 Nov 12 10:06 root
1.6 系统级别的计划任务
6)查看系统级别的计划任务
[root@localhost etc]# ll /etc/crontab
-rw-r–r–. 1 root root 451 Dec 28 2013 /etc/crontab
[root@localhost etc]# vim /etc/crontab
SHELL=/bin/bash
PATH=/sbin:/bin:/usr/sbin:/usr/bin
MAILTO=root
# For details see man 4 crontabs
# Example of job definition:
# .—————- minute (0 – 59)
# | .————- hour (0 – 23)
# | | .———- day of month (1 – 31)
# | | | .——- month (1 – 12) OR jan,feb,mar,apr …
# | | | | .—- day of week (0 – 6) (Sunday=0 or 7) OR sun,mon,tue,wed,thu,fri,sat
# | | | | |
# * * * * * user-name command to be executed
也可以直接在/etc/crontab 中添加计划任务
7)使用 crontab 命令的注意事项:
环境变量的问题
[root@localhost bin]# ls /etc/cron
cron.d/ cron.deny cron.monthly/ cron.weekly/
cron.daily/ cron.hourly/ crontab
注: cron.d/ #是系统自动定期需要做的任务,但是又不是按小时,按天,按星期,按月来执行的,
那么就放在这个目录下面。
cron.deny #控制用户是否能做计划任务的文件;
cron.monthly/ #每月执行的脚本;
cron.weekly/ #每周执行的脚本;
cron.daily/ #每天执行的脚本;
cron.hourly/ #每小时执行的脚本;
crontab #主配置文件 也可添加任务;
实战-
8)常见的计划任务写法和案例
常见写法:
每天晚上 21:00 重启 apache
0 21 * * * /etc/init.d/httpd restart
每月 1、10、22 日的 4 : 45 重启 apache。
45 4 1,10,22 * * /etc/init.d/httpd restart
每月 1 到 10 日的 4 : 45 重启 apache。
45 4 1-10 * * /etc/init.d/httpd restart
每隔两天的上午 8 点到 11 点的第 3 和第 15 分钟执行 apach
3,15 8-11 */2 * * /etc/init.d/httpd restart
晚上 11 点到早上 7 点之间,每隔一小时重启 apach
0 23-7/1 * * * /etc/init.d/apach restart
周一到周五每天晚上 21:15 寄一封信给 root@panda:
不常见写法:
0 0 1,15 * 1 命令
3.at 和 cron 黑白名单问题:
/etc/at.deny #at 黑名单,默认存在。
/etc/cron.deny #cron 黑名单,默认存在。
/etc/at.allow #at 白名单,默认不存在。
/etc/cron.allow #cron 白名单,默认不存在。
注意:1.白名单优先级高于黑名单,同时存在时白名单生效
2.少量用户可以使用,用白名单
3.大量用户可以使用,个别用户不能使用,用黑名单
4.当建立白名单文件后,必须存在白名单内才能使用
15 21 * * 1-5 mail -s “hi” root@panda < /etc/fstab
二、日志的种类和记录的方式-自定义 ssh 服务日志类型和存储位置
在 centos7 中,系统日志消息由两个服务负责处理:systemd-journald 和 rsyslog
1、常见日志文件的作用
系统日志文件概述:/var/log 目录保管由 rsyslog 维护的,里面存放的一些特定于系统和服务的日志文件
2.应用
1)查看哪个 IP 地址经常暴力激活成功教程系统用户密码
【】# ssh root@192.168.1.13
【】# grep Failed /var/log/secure
Aug 19 21:55:42 panda sshd[84029]: Failed password for root from 10.10.30.130 port 50916 ssh2
Aug 19 21:55:44 panda sshd[84029]: Failed password for root from 10.10.30.130 port 50916 ssh2
Aug 19 21:55:47 panda sshd[84029]: Failed password for root from 10.10.30.130 port 50916 ssh2
Aug 19 21:55:52 panda sshd[84034]: Failed password for root from 10.10.30.130 port 50917 ssh2
【】# grep Failed /var/log/secure|awk ‘{print $11}’|uniq -c
3 192.168.1.13
注:awk ‘{print $11}’ #以空格做为分隔符,打印第 11 列的数据
2)查询登录次数
/var/log/wtmp 文件的作用
/var/log/wtmp 也是一个二进制文件,记录每个用户的登录次数和持续时间等信息。
可以用 last 命令输出 wtmp 中内容: last 显示到目前为止,成功登录系统的记录
[root@localhost ~]# last
root pts/2 192.168.1.8 Tue May 22 00:35 still logged in
root pts/2 192.168.1.8 Mon May 21 20:42 – 00:35 (03:53)
或:
【】# last -f /var/log/wtmp
3)使用 /var/log/btmp 文件查看暴力激活成功教程系统的用户
/var/log/btmp 文件是记录错误登录系统的日志。如果发现/var/log/btmp 日志文件比较大,大于 1M,就算大了,就说明很多人在暴力激活成功教程 ssh 服务,此日志需要使用 lastb 程序查看
【】# lastb
root ssh:notty localhost .cn Mon May 21 21:49 – 21:49 (00:00) root ssh:notty localhost .cn Mon May 21 21:49 – 21:49 (00:00)
发现后,
4)防火墙禁ip
使用防火墙,拒绝掉:命令如下:
iptables -A INPUT -i ens33 -s 192.168.1.13(暴力激活成功教程地址) -j DROP
#将新规则追加于尾部入站请求 ens33 网卡,地址是 192.168.1.13 的 IP,被丢弃。
5)清空日志:
方法 1:【】# > /var/log/btmp
方法 2: 【】rm -rf /var/log/btmp && touch /var/log/btmp
6)如何防止日志删除
【】# chattr +a /var/log/sshd.log
【】# lsattr /var/log/sshd.log
—–a———- /var/log/sshd.log
【】# systemctl restart sshd
【】# cat /var/log/sshd.log #重启服务,查看日志有所增加
【】# chattr -a /var/log/sshd.log #取消,这里一定要取消,不然后面做日志切割
报错
三.日志的规则
1、日志的记录方式 分类 级别
1)日志的分类:
daemon 后台进程相关
kern 内核产生的信息
lpr 打印系统产生的
authpriv 安全认证
cron 定时相关
mail 邮件相关
syslog 日志服务本身的
news 新闻系统
local0-local7 8 个系统保留的类, 供其它的程序使用或者是用户自定义
2)日志的级别
: 轻重
3)类别.级别举例
authpriv.* 认证的信息存放 /var/log/secure
mail.* 邮件相关的信息 存放 -/var/log/maillog
cron.* 计划任务相关的信息 存放 /var/log/cron
local7.* 开机时显示的信息存放–> /var/log/boot.log
注:
“- ”号: 邮件的信息比较多,现将数据存储到内存,达到一定大小,全部写到硬盘.有利于减少 I/O 进程的开销 数据存储在内存,如果关机不当数据消失
四、rsyslog 日志服务
1》rhel5 ->服务名称 syslog ->配置文件 /etc/syslog.conf
2》rhel6-7 ->服务名称 rsyslog ->配置文件 /etc/rsyslog.conf
我们来查看一下
五、日志的配置文件信息:
编辑配置文件 vim /etc/rsyslog.conf
*.info;mail.none;authpriv.none;cron.none /var/log/messages
authpriv.* /var/log/secure
mail.* -/var/log/maillog
cron.* /var/log/cron
*.emerg : omusrmsg:* (内核奔溃广播)
uucp,news.crit /var/log/spooler
local7.* /var/log/boot.log
注释:
#$UDPServerRun 514 #允许514端口接收使用UDP协议转发过来的日志
#$InputTCPServerRun 514 #允许514端口接收使用UDP协议转发过来的日志
#kern.* 内核类型的所有级别日志 存放到 /dev/console
*.info;mail.none;authpriv.none;cron.none /var/log/messages
所有的类别级别是 info 以上 除了 mail,authpriv,cron (产生的日志太多,不易于查看)
1)日志输入的规则
. info 大于等于 info 级别的信息全部记录到某个文件
.=级别 仅记录等于某个级别的日志
例:.=info 只记录 info 级别的日志
.! 级别 除了某个级别意外,记录所有的级别信息
例.!err 除了 err 外记录所有
.none 指的是排除某个类别 例: mail.none 所有 mail 类别的日志都不记录
2)定义自己的日志方法
【】# vim /etc/rsyslog.conf
*.* /var/log/alert.log #在 62 行左右写入。*.*记录所有情况的日志。便于观看实验效果。保存到/var/log/alert.log
【】# systemctl restart rsyslog.service
关闭系统日志记录器: [确定]
启动系统日志记录器: [确定]
#重启 rsyslog 服务,使配置生效。
【】# ll /var/log/alert.log
-rw——- 1 root root 1520 11 月 13 18:22 /var/log/alert.log
如何防止日志删除
【】# chattr +a /var/log/sshd.log
【】# lsattr /var/log/sshd.log
—–a———- /var/log/sshd.log
【】# systemctl restart sshd
【】# cat /var/log/sshd.log #重启服务,查看日志有所增加
【】# chattr -a /var/log/sshd.log #取消,这里一定要取消,不然后面做日志切割
报错
当日志太多,导致日志很文件大怎么办? 3.2
六.日志的切割
1)logrotate 配置文件主要有:
/etc/logrotate.conf 以及 /etc/logrotate.d/ 这个子目录下的明细配置文件。
logrotate 的执行由 crond 服务调用的。
【】# vim /etc/cron.daily/logrotate #查看 logrotate 脚本内容
logrotate 程序每天由 cron 在指定的时间(/etc/crontab)启动
日志是很大的,如果让日志无限制的记录下去 是一件很可怕的事情,日积月累就有几百兆占用磁盘的空间,如果你要找出某一条可用信息:
日志切割:
当日志达到某个特定的大小,我们将日志分类,之前的日志保留一个备份,再产生的日志创建一个同名的文件保存新的日志.
实战演示:
2)编辑配置文件
【】# vim /etc/logrotate.conf
说明:(全局参数)
weekly : 每周执行回滚,或者说每周执行一次日志回滚
rotate: 表示日志切分后历史文件最多保存离现在最近的多少份 [rəʊˈteɪt] 旋转
create : 指定新创建的文件的权限与所属主与群组
dateext : 使用日期为后缀的回滚文件 #可以去/var/log 目录下看看
单独配置信息
其它参数说明:
monthly: 日志文件将按月轮循。其它可用值为‘daily’,‘weekly’或者‘yearly’。
rotate 5: 一次将存储 5 个归档日志。对于第六个归档,时间最久的归档将被删除。
compress: 在轮循任务完成后,已轮循的归档将使用 gzip 进行压缩。
delaycompress: 总是与 compress 选项一起用,delaycompress 选项指示 logrotate 不要将最近的归档压缩,
压缩将在下一次轮循周期进行。这在你或任何软件仍然需要读取最新归档时很有用。
missingok: 在日志轮循期间,任何错误将被忽略,例如“文件无法找到”之类的错误。
notifempty: 如果日志文件为空,轮循不会进行。
create 644 root root: 以指定的权限创建全新的日志文件,同时 logrotate 也会重命名原始日志文件。
prerotate/endscript:在日志轮替之前执行脚本命令。endscript 标识 prerotate 脚本结束。
postrotate/endscript:在日志轮替之后执行脚本命令。endscript 标识 postrotate 脚本结束。
sharedscripts:在此关键字之后的语句执行一次。
3)logrotate 命令:
格式:logrotate [选项] 配置文件名
选项:如果此命令不添加子选项,则会按照配置文件中的条件进行日志轮替。
-d:测试
-v:显示日志轮替过程。加-v 选项会显示日志的轮替过程。
-f:强制进行日志轮替。不管日志轮替的条件是否已经符合,强制配置文件中的所有日志进行轮替。
[root@localhost ~]# vim /etc/logrotate.d/all
[root@localhost ~]#systemctl restart rsyslog.service
[root@localhost ~]# logrotate -d /etc/logrotate.d/sshd #预演,不实际轮循
[root@localhost ~]# logrotate -vf /etc/logrotate.d/sshd #强制轮循,也就是说即使轮循条件没有满足,也可以通过加-f 强制让 logrotate 轮循日志文件
七、搭建远程日志收集服务器-日志切割
搭建日志服务器流程
前提:两台服务器之间可以互相通信
服务器端:
1.开启端口TCP/UDP
编辑配置文件 vim /etc/rsyslog.conf
#$UDPServerRun 514 #允许514端口接收使用UDP协议转发过来的日志
#$InputTCPServerRun 514 #允许514端口接收使用UDP协议转发过来的日志
删除#号
2.重启rsyslog
【】#systemctl restart rsyslog.service
3.查看端口是否打开
netstat -anpt 找514
4.关闭防火墙及保护机制
客户端
修改主机名 hostnamectl set-hostname(用来在日志中区分)
1.自定义日志并且定义日志保存位置
【】vim /etc/rsyslog.conf
保存位置 TCP用@@IP UDP用@IP
2.重启rsyslog
【】systemctl restart rsyslog.service
3.关闭防火墙及保护机制
列
日志服务器的设置
假设服务器端的服务器 IP 地址是 192.168.22.210,主机名是 localhost.localdomain;客户端的服务器 IP 地址是 192.168.22.211,主机名是 www1.我们现在要把 192.168.1.211 的日志保存到 192.168.1.210 这台服务器上。
例:
#客户端服务器端需要关闭 SELinux 和 firewalld。
1.服务器端(192.168.22.210)
【】# vim /etc/rsyslog.conf
$ModLoad imtcp
$InputTCPServerRun 514
#取消注释。
【】#systemctl restart rsyslog.service #重启服务。
【】# netstat -tlun | grep 514
tcp 0 0 0.0.0.0:514 0.0.0.0:* LISTEN
tcp 0 0 :::514 :::* LISTEN
2.客户端设定(192.168.22.211)
【】# hostname www1
【】# hostname
www1
【】# vim /etc/rsyslog.conf
*.* @@192.168.22.210:514
#把所有日志采用 TCP 协议发送到 192.168.22.210 的 514 端口上。默认修改位置为 61 行左右。
【】# systemctl restart rsyslog.service
例如:
【】# useradd roushan
【】# passwd roushan
#添加 roushan 用户,此时是 www1 主机名。
去服务器查看(192.168.22.210):
【】# cat /var/log/secure | grep “www1”
总结:
1 计划任务-at-cron-计划任务使用方法
2 日志的种类和记录的方式-自定义日志类型和存储位置
发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/158656.html原文链接:https://javaforall.cn
【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛
【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...