from:
http://blog.chinaunix.net/space.php?uid=233938&do=blog&cuid=211941

from: ibm developerworks

　　[root@dbrg-2 ~]# curl -I www.baidu.com

　　HTTP/1.1 200 OK

　　Date: Wed, 29 Jul 2009 02:51:19 GMT

　　Server: BWS/1.0

　　Content-Length: 3509

　　Content-Type: text/html

　　Cache-Control: private

　　Expires: Wed, 29 Jul 2009 02:51:19 GMT

　　Set-Cookie: BAIDUID=0D5F54C0853B7C38D6BD3A3E5EA63C44:FG=1; expires=Wed, 29-Jul-39 02:51:19 GMT; path=/; domain=.baidu.com

　　P3P: CP=" OTI DSP COR IVA OUR IND COM "

　　[root@dbrg-2 ~]# wget -S --spider www.baidu.com

　　--10:51:34-- http://www.baidu.com/

　　=> `index.html

　　那么工具是实现了,如何用c来实现呢... 其实也很简单,我刚开始还走了点弯路想的是去查看wget or curl的源码,奈何那种代码相互之间依赖性太强实在不易阅读,于是自己用wireshark抓包, so easy!!!!有兴趣的自己去抓下

　　#include <stdio.h>

　　#include <stdlib.h>

　　#include <unistd.h>

　　#include <string.h>

　　#include <sys/socket.h>

　　#include <netinet/in.h>

　　#include <netdb.h>

　　#define HTTPPORT 80

　　char* head =

　　"HEAD / HTTP/1.0\r\n"

　　"Accept: */*\r\n"

　　"User-Agent: Wget/1.10.2 (Red Hat modified)\r\n"

　　"Host:127.0.0.1\r\n"

　　"Connection: Keep-Alive\r\n\r\n";

　　int connect_URL(char *domain,int port)

　　{

　　int sock;

　　struct hostent * host;

　　struct sockaddr_in server;

　　host = gethostbyname(domain);

　　if (host == NULL)

　　{

　　printf("gethostbyname error\n");

　　return -2;

　　}

sock = socket(AF_INET,SOCK_STREAM,0);

　　if (sock < 0)

　　{

　　printf("invalid socket\n");

　　return -1;

　　}

　　memset(&server,0,sizeof(struct sockaddr_in));

　　memcpy(&server.sin_addr,host->h_addr_list[0],host->h_length);

　　server.sin_family = AF_INET;

　　server.sin_port = htons(port);

　　return (connect(sock,(struct sockaddr *)&server,sizeof(struct sockaddr)) <0) ? -1 : sock;

　　}

　　int main()

　　{

　　int sock;

　　int ret;

　　char buf[100];

　　char *domain = "127.0.0.1";

　　FILE* fp = fopen("test","w+");

　　if(NULL == fp){

　　printf("can't open stockcode file!\n");

　　return -1;

　　}

　　sock = connect_URL(domain,HTTPPORT);

　　if (sock <0){

　　printf("connetc err\n");

　　return -1;

　　}

　　send(sock,head,strlen(head),0);

　　while(1)

　　{

　　if((ret=recv(sock,buf,100-1,0))<1)

　　break;

　　buf[ret]='\0';

　　printf("%s", buf);

　　fprintf(fp,"%s",buf); //save http data

　　}

　　fclose(fp);

　　close(sock);

　　//printf("bye!\n");

　　return 0;

　　}

from:

http://linux.chinaitlab.com/server/800420_2.html

linux下的nc命令中，-l后跟随监听端口，-p后跟随与目标主机建立连接时的本地端口，二者不可能同时使用。

nc -l 1234

资源
# free -m                # 查看内存使用量和交换区使用量
# df -h                  # 查看各分区使用情况
# du -sh <目录名>        # 查看指定目录的大小
# grep MemTotal /proc/meminfo   # 查看内存总量
# grep MemFree /proc/meminfo    # 查看空闲内存量
# uptime                 # 查看系统运行时间、用户数、负载
# cat /proc/loadavg      # 查看系统负载

磁盘和分区
# mount | column -t      # 查看挂接的分区状态
# fdisk -l               # 查看所有分区
# swapon -s              # 查看所有交换分区
# hdparm -i /dev/hda     # 查看磁盘参数(仅适用于IDE设备)
# dmesg | grep IDE       # 查看启动时IDE设备检测状况

网络
# ifconfig               # 查看所有网络接口的属性
# iptables -L            # 查看防火墙设置
# route -n               # 查看路由表
# netstat -lntp          # 查看所有监听端口
# netstat -antp          # 查看所有已经建立的连接
# netstat -s             # 查看网络统计信息

进程
# ps -ef                 # 查看所有进程
# top                    # 实时显示进程状态

用户
# w                      # 查看活动用户
# id <用户名>            # 查看指定用户信息
# last                   # 查看用户登录日志
# cut -d: -f1 /etc/passwd   # 查看系统所有用户
# cut -d: -f1 /etc/group    # 查看系统所有组
# crontab -l             # 查看当前用户的计划任务

　　proc文件系统是一个伪文件系统，它只存在内存当中，而不占用外存空间。它以文件系统的方式为访问系统内核数据的操作提供接口。用户和应用程序可以通过proc得到系统的信息，并可以改变内核的某些参数。由于系统的信息，如进程，是动态改变的，所以用户或应用程序读取proc文件时，proc文件系统是动态从系统内核读出所需信息并提交的。它的目录结构如下：

　　目录名称 目录内容

　　apm 高级电源管理信息

　　cmdline 内核命令行

　　Cpuinfo 关于Cpu信息

　　Devices 可以用到的设备（块设备/字符设备）

　　Dma 使用的DMA通道

　　Filesystems 支持的文件系统

　　Interrupts 中断的使用

　　Ioports I/O端口的使用

　　Kcore 内核核心印象

　　Kmsg 内核消息

　　Ksyms 内核符号表

　　Loadavg 负载均衡

　　Locks 内核锁

　　Meminfo 内存信息

　　Misc 杂项

　　Modules 加载模块列表

　　Mounts 加载的文件系统

　　Partitions 系统识别的分区表

　　Rtc 实时时钟

　　Slabinfo Slab池信息

　　Stat 全面统计状态表

　　Swaps 对换空间的利用情况

　　Version 内核版本

　　Uptime 系统正常运行时间

　　并不是所有这些目录在你的系统中都有，这取决于你的内核配置和装载的模块。另外，在/proc下还有三个很重要的目录：net，scsi和sys。 Sys目录是可写的，可以通过它来访问或修改内核的参数（见下一部分），而net和scsi则依赖于内核配置。例如，如果系统不支持scsi，则scsi 目录不存在。

　　除了以上介绍的这些，还有的是一些以数字命名的目录，它们是进程目录。系统中当前运行的每一个进程都有对应的一个目录在/proc下，以进程的 PID号为目录名，它们是读取进程信息的接口。而self目录则是读取进程本身的信息接口，是一个link。Proc文件系统的名字就是由之而起。进程目录的结构如下：

　　目录名称 目录内容

　　Cmdline 命令行参数

　　Environ 环境变量值

　　Fd 一个包含所有文件描述符的目录

　　Mem 进程的内存被利用情况

　　Stat 进程状态

　　Status 进程当前状态，以可读的方式显示出来

　　Cwd 当前工作目录的链接

　　Exe 指向该进程的执行命令文件

　　Maps 内存映象

　　Statm 进程内存状态信息

　　Root 链接此进程的root目录

　　用户如果要查看系统信息，可以用cat命令。例如：

　　# cat /proc/interrupts

　　CPU0

　　0: 8728810 XT-PIC timer

　　1: 895 XT-PIC keyboard

　　2: 0 XT-PIC cascade

　　3: 531695 XT-PIC aha152x

　　4: 2014133 XT-PIC serial

　　5: 44401 XT-PIC pcnet_cs

　　8: 2 XT-PIC rtc

　　11: 8 XT-PIC i82365

　　12: 182918 XT-PIC Mouse

　　13: 1 XT-PIC fpu PS/2

　　14: 1232265 XT-PIC ide0

　　15: 7 XT-PIC ide1

　　NMI: 0

　　用户还可以实现修改内核参数。在/proc文件系统中有一个有趣的目录：/proc/sys。它不仅提供了内核信息，而且可以通过它修改内核参数，来优化你的系统。但是你必须很小心，因为可能会造成系统崩溃。最好是先找一台无关紧要的机子，调试成功后再应用到你的系统上。

　　要改变内核的参数，只要用vi编辑或echo参数重定向到文件中即可。下面有一个例子：

　　# cat /proc/sys/fs/file-max

　　4096

　　# echo 8192 > /proc/sys/fs/file-max

　　# cat /proc/sys/fs/file-max

　　8192

　　如果你优化了参数，则可以把它们写成添加到文件rc.local中，使它在系统启动时自动完成修改。

　　/proc文件系统中网络参数

　　在/proc/sys/net/ipv4/目录下，包含的是和tcp/ip协议相关的各种参数，下面我们就对这些网络参数加以详细的说明。

　　ip_forward 参数类型：BOOLEAN

　　0 - 关闭(默认值)

　　not 0 - 打开ip转发

　　在网络本地接口之间转发数据报。该参数非常特殊，对该参数的修改将导致其它所有相关配置参数恢复其默认值(对于主机参阅RFC1122，对于路由器参见RFC1812)

　　ip_default_ttl 参数类型：INTEGER

　　默认值为 64 。表示IP数据报的Time To Live值。

　　ip_no_pmtu_disc 参数类型：BOOLEAN

　　关闭路径MTU探测，默认值为FALSE

　　ipfrag_high_thresh 参数类型：整型

　　用来组装分段的IP包的最大内存量。当ipfrag_high_thresh数量的内存被分配来用来组装IP包，则IP分片处理器将丢弃数据报直到ipfrag_low_thresh数量的内存被用来组装IP包。

　　ipfrag_low_thresh 参数类型：整型

　　参见ipfrag_high_thresh。

　　ipfrag_time 参数类型：整型

　　保存一个IP分片在内存中的时间。

　　inet_peer_threshold 参数类型：整型

　　INET对端存储器某个合适值，当超过该阀值条目将被丢弃。该阀值同样决定生存时间以及废物收集通过的时间间隔。条目越多 存活期越低 GC 间隔越短

　　inet_peer_minttl 参数类型：整型

　　条目的最低存活期。在重组端必须要有足够的碎片(fragment)存活期。这个最低存活期必须保证缓冲池容积是否少于 inet_peer_threshold。该值以 jiffies为单位测量。

　　inet_peer_maxttl 参数类型：整型

　　条目的最大存活期。在此期限到达之后 如果缓冲池没有耗尽压力的话(例如 缓冲池中的条目数目非常少) 不使用的条目将会超时。该值以 jiffies为单位测量。

　　inet_peer_gc_mintime 参数类型：整型

　　废物收集(GC)通过的最短间隔。这个间隔会影响到缓冲池中内存的高压力。 该值以 jiffies为单位测量。

　　inet_peer_gc_maxtime 参数类型：整型

　　废物收集(GC)通过的最大间隔，这个间隔会影响到缓冲池中内存的低压力。 该值以 jiffies为单位测量。

　　tcp_syn_retries 参数类型：整型

　　对于一个新建连接，内核要发送多少个 SYN 连接请求才决定放弃。不应该大于255，默认值是5，对应于180秒左右。

　　tcp_synack_retries 参数类型：整型

　　对于远端的连接请求SYN，内核会发送SYN ＋ ACK数据报，以确认收到上一个 SYN连接请求包。这是所谓的三次握手( threeway handshake)机制的第二个步骤。这里决定内核在放弃连接之前所送出的 SYN+ACK 数目。

　　tcp_keepalive_time 参数类型：整型

　　当keepalive打开的情况下，TCP发送keepalive消息的频率，默认值是2个小时。

　　tcp_keepalive_probes 参数类型：整型

　　TCP发送keepalive探测以确定该连接已经断开的次数，默认值是9。

　　tcp_keepalive_interval 参数类型：整型

　　探测消息发送的频率，乘以tcp_keepalive_probes就得到对于从开始探测以来没有响应的连接杀除的时间。默认值为75秒，也就是没有活动的连接将在大约11分钟以后将被丢弃。

　　tcp_retries1 参数类型：整型

　　当出现可疑情况而必须向网络层报告这个可疑状况之前 需要进行多少次重试。最低的 RFC 数值是 3 这也是默认值 根据RTO的值大约在3秒 - 8分钟之间。

　　tcp_retries2 参数类型：整型

　　在丢弃激活的TCP连接之前 需要进行多少次重试。RFC1122规定，该值必须大于100秒。默认值为15，根据RTO的值来决定，相当于13-30分钟，

　　tcp_orphan_retries 参数类型：整型

　　在近端丢弃TCP连接之前 要进行多少次重试。默认值是 7 个 相当于 50秒 - 16分钟 视 RTO 而定。如果您的系统是负载很大的web服务器 那么也许需要降低该值 这类 sockets 可能会耗费大量的资源。另外参的考 tcp_max_orphans 。

　　tcp_fin_timeout 参数类型：整型

　　对于本端断开的socket连接，TCP保持在FIN-WAIT-2状态的时间。对方可能会断开连接或一直不结束连接或不可预料的进程死亡。默 认值为 60 秒。过去在2.2版本的内核中是 180 秒。您可以设置该值 但需要注意 如果您的机器为负载很重的web服务器 您可能要冒内存被大量无效数据报填满的风险 FIN-WAIT-2 sockets 的危险性低于 FIN-WAIT-1 因为它们最多只吃 1.5K 的内存 但是它们存在时间更长。另外参考 tcp_max_orphans。

　　tcp_max_tw_buckets 参数类型：整型

　　系统在同时所处理的最大timewait sockets 数目。如果超过此数的话 time-wait socket 会被立即砍除并且显示警告信息。之所以要设定这个限制 纯粹为了抵御那些简单的 DoS 攻击 千万不要人为的降低这个限制 不过 如果网络条件需要比默认值更多 则可以提高它(或许还要增加内存)。

　　tcp_tw_recycle 参数类型：布尔

　　打开快速 TIME-WAIT sockets 回收。默认值是1。除非得到技术专家的建议或要求 请不要随意修改这个值。

　　tcp_max_orphans 参数类型：整型

　　系统所能处理不属于任何进程的TCP sockets最大数量。假如超过这个数量 那么不属于任何进程的连接会被立即reset，并同时显示警告信息。之所以要设定这个限制 纯粹为了抵御那些简单的 DoS 攻击 千万不要依赖这个或是人为的降低这个限制

　　tcp_abort_on_overflow 参数类型：布尔

　　当守护进程太忙而不能接受新的连接，就象对方发送reset消息，默认值是false。这意味着当溢出的原因是因为一个偶然的猝发，那么连接将恢复状态。只有在你确信守护进程真的不能完成连接请求时才打开该选项，该选项会影响客户的使用。

　　tcp_syncookies 参数类型：整型

　　只有在内核编译时选择了CONFIG_SYNCOOKIES时才会发生作用。当出现syn等候队列出现溢出时象对方发送syncookies。目的是为了防止syn flood攻击。默认值是false。

　　注意：该选项千万不能用于那些没有收到攻击的高负载服务器，如果在日志中出现synflood消息，但是调查发现没有收到synflood攻 击，而是合法用户的连接负载过高的原因，你应该调整其它参数来提高服务器性能。参考: tcp_max_syn_backlog, tcp_synack_retries, tcp_abort_on_overflow.

　　syncookie严重的违背TCP协议，不允许使用TCP扩展，可能对某些服务导致严重的性能影响(如SMTP转发)。

　　tcp_stdurg 参数类型：整型

　　使用 TCP urg pointer 字段中的主机请求解释功能。大部份的主机都使用老旧的 BSD解释，因此如果您在 Linux 打开它 或会导致不能和它们正确沟通。默认值为为 FALSE

　　tcp_max_syn_backlog 参数类型：整型

　　对于那些依然还未获得客户端确认的连接请求 需要保存在队列中最大数目。对于超过 128Mb 内存的系统 默认值是 1024 低于 128Mb 的则为 128。如果服务器经常出现过载 可以尝试增加这个数字。警告 假如您将此值设为大于 1024 最好修改 include/net/tcp.h 里面的 TCP_SYNQ_HSIZE 以保持 TCP_SYNQ_HSIZE*16<=tcp_max_syn_backlog 并且编进核心之内。

　　tcp_window_scaling 参数类型：布尔

　　正常来说，TCP/IP 可以接受最大到65535字节的 windows。对于宽带网络，该值可能是不够的，通过调整该参数有助于提高宽带服务器性能。

　　tcp_timestamps 参数类型：布尔

　　Timestamps 用在其它一些东西中 可以防范那些伪造的 sequence 号码。一条1G的宽带线路或许会重遇到带 out-of-line数值的旧sequence 号码(假如它是由于上次产生的)。Timestamp 会让它知道这是个 '旧封包'。

　　tcp_sack 参数类型：布尔

　　使用 Selective ACK 它可以用来查找特定的遗失的数据报--- 因此有助于快速恢复状态。

　　tcp_fack 参数类型：布尔

　　打开FACK拥塞避免和快速重传功能。

　　tcp_dsack 参数类型：布尔

　　允许TCP发送"两个完全相同"的SACK。

　　tcp_ecn 参数类型：布尔

　　打开TCP的直接拥塞通告功能。

　　tcp_reordering 参数类型：整型

　　TCP流中重排序的数据报最大数量默认值是 3 。

　　tcp_retrans_collapse 参数类型：布尔

　　对于某些有bug的打印机提供针对其bug的兼容性。

　　tcp_wmem - 三个整数的向量： min, default, max

　　min：为TCP socket预留用于发送缓冲的内存最小值。每个tcp socket都可以在建议以后都可以使用它。默认值为4K。

　　default：为TCP socket预留用于发送缓冲的内存数量，默认情况下该值会影响其它协议使用的net.core.wmem_default 值，一般要低于net.core.wmem_default的值。默认值为16K。

　　max: 用于TCP socket发送缓冲的内存最大值。该值不会影响net.core.wmem_max，今天选择参数SO_SNDBUF则不受该值影响。默认值为128K。

　　tcp_rmem - 三个整数的向量： min, default, max

　　min：为TCP socket预留用于接收缓冲的内存数量，即使在内存出现紧张情况下tcp socket都至少会有这么多数量的内存用于接收缓冲，默认值为8K。

　　default：为TCP socket预留用于接收缓冲的内存数量，默认情况下该值影响其它协议使用的 net.core.wmem_default 值。该值决定了在tcp_adv_win_scale、tcp_app_win和tcp_app_win:0是默认值情况下，tcp 窗口大小为65535。

　　max：用于TCP socket接收缓冲的内存最大值。该值不会影响 net.core.wmem_max，今天选择参数 SO_SNDBUF则不受该值影响。默认值为 128K。默认值为87380*2 bytes。

　　tcp_mem - 三个整数的向量： low, pressure, high

　　low：当TCP使用了低于该值的内存页面数时，TCP不会考虑释放内存。

　　pressure：当TCP使用了超过该值的内存页面数量时，TCP试图稳定其内存使用，进入pressure模式，当内存消耗低于low值时则退出pressure状态。

　　high：允许所有tcp sockets用于排队缓冲数据报的页面量。

　　一般情况下这些值是在系统启动时根据系统内存数量计算得到的。

　　tcp_app_win - 整数

　　保留max(window/2^tcp_app_win, mss)数量的窗口由于应用缓冲。当为0时表示不需要缓冲。默认值是31。

　　tcp_adv_win_scale - 整数

　　计算缓冲开销bytes/2^tcp_adv_win_scale(如果tcp_adv_win_scale > 0)或者bytes-bytes/2^(-tcp_adv_win_scale)(如果tcp_adv_win_scale <= 0），默认值为2。

　　ip_local_port_range - 两个整数

　　定于TCP和UDP使用的本地端口范围，第一个数是开始，第二个数是最后端口号，默认值依赖于系统中可用的内存数：

　　> 128Mb 32768-61000

　　< 128Mb 1024-4999 or even less.

　　该值决定了活动连接的数量，也就是系统可以并发的连接数

　　icmp_echo_ignore_all - 布尔类型

　　icmp_echo_ignore_broadcasts - 布尔类型

　　如果任何一个设置为true(>0)则系统将忽略所有发送给自己的ICMP ECHO请求或那些广播地址的请求。

　　icmp_destunreach_rate - 整数

　　icmp_paramprob_rate - 整数

　　icmp_timeexceed_rate - 整数

　　icmp_echoreply_rate - 整数(not enabled per default)

　　限制发向特定目标的ICMP数据报的最大速率。0表示没有任何限制，否则表示jiffies数据单位中允许发送的个数。

　　icmp_ignore_bogus_error_responses - 布尔类型

　　某些路由器违背RFC1122标准，其对广播帧发送伪造的响应来应答。这种违背行为通常会被以告警的方式记录在系统日志中。如果该选项设置为True，内核不会记录这种警告信息。默认值为False。

　　(1) Jiffie: 内核使用的内部时间单位，在i386系统上大小为1/100s，在Alpha中为1/1024S。在/usr/include/asm/param.h中的HZ定义有特定系统的值。

　　conf/interface/*:

　　conf/all/*是特定的，用来修改所有接口的设置，is special and changes the settings for all interfaces.

　　Change special settings per interface.

　　log_martians - 布尔类型

　　记录带有不允许的地址的数据报到内核日志中。

　　accept_redirects - 布尔类型

　　收发接收ICMP重定向消息。对于主机来说默认为True，对于用作路由器时默认值为False。

　　forwarding - 布尔类型

　　在该接口打开转发功能

　　mc_forwarding - 布尔类型

　　是否进行多播路由。只有内核编译有CONFIG_MROUTE并且有路由服务程序在运行该参数才有效。

　　proxy_arp - 布尔类型

　　打开proxy arp功能。

　　shared_media - 布尔类型

　　发送(路由器)或接收(主机) RFC1620 共享媒体重定向。覆盖ip_secure_redirects的值。默认为True。

　　secure_redirects - 布尔类型

　　仅仅接收发给默认网关列表中网关的ICMP重定向消息，默认值是TRUE。

　　send_redirects - 布尔类型

　　如果是router，发送重定向消息，默认值是TRUE

　　bootp_relay - 布尔类型

　　接收源地址为0.b.c.d，目的地址不是本机的数据报。用来支持BOOTP转发服务进程，该进程将捕获并转发该包。默认为False，目前还没有实现。

　　accept_source_route - 布尔类型

　　接收带有SRR选项的数据报。对于主机来说默认为False，对于用作路由器时默认值为True。

　　rp_filter 参数类型

　　1 - 通过反向路径回溯进行源地址验证(在RFC1812中定义)。对于单穴主机和stub网络路由器推荐使用该选项。

　　0 - 不通过反向路径回溯进行源地址验证。

　　默认值为0。某些发布在启动时自动将其打开。

 from:http://blog.chinaunix.net/u2/76292/showart_1327412.html

的原因，或者受到攻击时攻击者留下的痕迹。日志主要的功能有：审计和监测。他还可以实时的监测系统状态，

监测和追踪侵入者等等。

　　1. 日志简介

　　日志对于安全来说，非常重要，他记录了系统每天发生的各种各样的事情，你可以通过他来检查错误发生

的原因，或者受到攻击时攻击者留下的痕迹。日志主要的功能有：审计和监测。他还可以实时的监测系统状态，

监测和追踪侵入者等等。

　　在Linux系统中，有三个主要的日志子系统：

　　连接时间日志--由多个程序执行，把纪录写入到/var/log/wtmp和/var/run/utmp，login等程序更

新wtmp和utmp文件，使系统管理员能够跟踪谁在何时登录到系统。

　　进程统计--由系统内核执行。当一个进程终止时，为每个进程往进程统计文件（pacct或acct）中写一个

纪录。进程统计的目的是为系统中的基本服务提供命令使用统计。

　　错误日志--由syslogd（8）执行。各种系统守护进程、用户程序和内核通过syslog（3）向文件

/var/log/messages报告值得注意的事件。另外有许多UNIX程序创建日志。像HTTP和FTP这样提供网络服

务的服务器也保持详细的日志。

　　常用的日志文件如下：

　　access-log 纪录HTTP/web的传输

　　acct/pacct 纪录用户命令

　　aculog 纪录MODEM的活动

　　btmp 纪录失败的纪录

　　lastlog 纪录最近几次成功登录的事件和最后一次不成功的登录

　　messages 从syslog中记录信息（有的链接到syslog文件）

　　sudolog 纪录使用sudo发出的命令

　　sulog 纪录使用su命令的使用

　　syslog 从syslog中记录信息（通常链接到messages文件）

　　utmp 纪录当前登录的每个用户

　　wtmp 一个用户每次登录进入和退出时间的永久纪录

　　xferlog 纪录FTP会话

　　utmp、wtmp和lastlog日志文件是多数重用UNIX日志子系统的关键--保持用户登录进入和退出的纪录。

有关当前登录用户的信息记录在文件utmp中；登录进入和退出纪录在文件wtmp中；最后一次登录文件可以

用lastlog命令察看。数据交换、关机和重起也记录在wtmp文件中。所有的纪录都包含时间戳。这些文件

（lastlog通常不大）在具有大量用户的系统中增长十分迅速。例如wtmp文件可以无限增长，除非定期截取。

许多系统以一天或者一周为单位把wtmp配置成循环使用。它通常由cron运行的脚本来修改。这些脚本重新命

名并循环使用wtmp文件。通常，wtmp在第一天结束后命名为wtmp.1；第二天后wtmp.1变为wtmp.2等等，直

到wtmp.7。

　　每次有一个用户登录时，login程序在文件lastlog中察看用户的UID。如果找到了，则把用户上次登录、

退出时间和主机名写到标准输出中，然后login程序在lastlog中纪录新的登录时间。在新的lastlog纪录写

入后，utmp文件打开并插入用户的utmp纪录。该纪录一直用到用户登录退出时删除。utmp文件被各种命令

文件使用，包括who、w、users和finger。

　　下一步，login程序打开文件wtmp附加用户的utmp纪录。当用户登录退出时，具有更新时间戳的同

一utmp纪录附加到文件中。wtmp文件被程序last和ac使用。

　　2. 具体命令

　　wtmp和utmp文件都是二进制文件，他们不能被诸如tail命令剪贴或合并（使用cat命令）。用户

需要使用who、w、users、last和ac来使用这两个文件包含的信息。

　　who：who命令查询utmp文件并报告当前登录的每个用户。Who的缺省输出包括用户名、终端类型、登录

日期及远程主机。例如：who（回车）显示

chyang pts/0 Aug 18 15:06
ynguo pts/2 Aug 18 15:32
ynguo pts/3 Aug 18 13:55
lewis pts/4 Aug 18 13:35
ynguo pts/7 Aug 18 14:12
ylou pts/8 Aug 18 14:15

　　如果指明了wtmp文件鈀?浴? ?? ??ゐ?!名，则who命令查询所有以前的纪录。命令who /var/log/wtmp将报告自从wtmp文件

创建或删改以来的每一次登录。

　　w：w命令查询utmp文件并显示当前系统中每个用户和它所运行的进程信息。例如：w（回车）显

示：3:36pm up 1 day, 22:34, 6 users, load average: 0.23, 0.29, 0.27

USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
chyang pts/0 202.38.68.242 3:06pm 2:04 0.08s 0.04s -bash
ynguo pts/2 202.38.79.47 3:32pm 0.00s 0.14s 0.05s w
lewis pts/3 202.38.64.233 1:55pm 30:39 0.27s 0.22s -bash
lewis pts/4 202.38.64.233 1:35pm 6.00s 4.03s 0.01s sh /home/users/
ynguo pts/7 simba.nic.ustc.e 2:12pm 0.00s 0.47s 0.24s telnet mail
ylou pts/8 202.38.64.235 2:15pm 1:09m 0.10s 0.04s -bash

　　users：users用单独的一行打印出当前登录的用户，每个显示的用户名对应一个登录会话。如果一个

用户有不止一个登录会话，那他的用户名将显示相同的次数。例如：users（回车）显

示：chyang lewis lewis ylou ynguo ynguo

　　last：last命令往回搜索wtmp来显示自从文件第一次创建以来登录过的用户。例如：

chyang pts/9 202.38.68.242 Tue Aug 1 08:34 - 11:23 (02:49)
cfan pts/6 202.38.64.224 Tue Aug 1 08:33 - 08:48 (00:14)
chyang pts/4 202.38.68.242 Tue Aug 1 08:32 - 12:13 (03:40)
lewis pts/3 202.38.64.233 Tue Aug 1 08:06 - 11:09 (03:03)
lewis pts/2 202.38.64.233 Tue Aug 1 07:56 - 11:09 (03:12)

　　如果指明了用户，那么last只报告该用户的近期活动，例如：last ynguo（回车）显示：

ynguo pts/4 simba.nic.ustc.e Fri Aug 4 16:50 - 08:20 (15:30)
ynguo pts/4 simba.nic.ustc.e Thu Aug 3 23:55 - 04:40 (04:44)
ynguo pts/11 simba.nic.ustc.e Thu Aug 3 20:45 - 22:02 (01:16)
ynguo pts/0 simba.nic.ustc.e Thu Aug 3 03:17 - 05:42 (02:25)
ynguo pts/0 simba.nic.ustc.e Wed Aug 2 01:04 - 03:16 1+02:12)
ynguo pts/0 simba.nic.ustc.e Wed Aug 2 00:43 - 00:54 (00:11)
ynguo pts/9 simba.nic.ustc.e Thu Aug 1 20:30 - 21:26 (00:55)

　　ac：ac命令根据当前的/var/log/wtmp文件中的登录进入和退出来报告用户连结的时间（小时），

如果不使用标志，则报告总的时间。例如：ac（回车）显示：total 5177.47

　　ac -d（回车）显示每天的总的连结时间

Aug 12 total 261.87
Aug 13 total 351.39
Aug 14 total 396.09
Aug 15 total 462.63
Aug 16 total 270.45
Aug 17 total 104.29
Today total 179.02

　　ac -p （回车）显示每个用户的总的连接时间

ynguo 193.23
yucao 3.35
rong 133.40
hdai 10.52
zjzhu 52.87
zqzhou 13.14
liangliu 24.34
total 5178.24

　　last鈀?浴? ?? ??ゐ?!log：lastlog文件在每次有用户登录时被查询。可以使用lastlog命令来检查某特定用户上次

登录的时间，并格式化输出上次登录日志/var/log/lastlog的内容。它根据UID排序显示登录名、端口

号（tty）和上次登录时间。如果一个用户从未登录过，lastlog显示"**Never logged**。注意需要

以root运行该命令，例如：

rong 5 202.38.64.187 Fri Aug 18 15:57:01 +0800 2000
dbb **Never logged in**
xinchen **Never logged in**
pb9511 **Never logged in**
xchen 0 202.38.64.190 Sun Aug 13 10:01:22 +0800 2000

　　另外，可一加一些参数，例如，last -u 102将报告UID为102的用户；last -t 7表示限制上一周的报告。

　　3. 进程统计

　　UNIX可以跟踪每个用户运行的每条命令，如果想知道昨晚弄乱了哪些重要的文件，进程统计子系统可

以告诉你。它对还跟踪一个侵入者有帮助。与连接时间日志不同，进程统计子系统缺省不激活，它必须启

动。在Linux系统中启动进程统计使用accton命令，必须用root身份来运行。Accton命令的形

式accton file，file必须先存在。先使用touch命令来创建pacct文件：touch /var/log/pacct，

然后运行accton： accton /var/log/pacct。一旦accton被激活，就可以使用lastcomm命令监测系统

中任何时候执行的命令。若要关闭统计，可以使用不带任何参数的accton命令。

　　lastcomm命令报告以前执行的文件。不带参数时，lastcomm命令显示当前统计文件生命周期内纪录

的所有命令的有关信息。包括命令名、用户、tty、命令花费的CPU时间和一个时间戳。如果系统有许多用

户，输入则可能很长。下面的例子：

crond F root ?? 0.00 secs Sun Aug 20 00:16
promisc_check.s S root ?? 0.04 secs Sun Aug 20 00:16
promisc_check root ?? 0.01 secs Sun Aug 20 00:16
grep root ?? 0.02 secs Sun Aug 20 00:16
tail root ?? 0.01 secs Sun Aug 20 00:16
sh root ?? 0.01 secs Sun Aug 20 00:15
ping S root ?? 0.01 secs Sun Aug 20 00:15
ping6.pl F root ?? 0.01 secs Sun Aug 20 00:15
sh root ?? 0.01 secs Sun Aug 20 00:15
ping S root ?? 0.02 secs Sun Aug 20 00:15
ping6.pl F root ?? 0.02 secs Sun Aug 20 00:15
sh root ?? 0.02 secs Sun Aug 20 00:15
ping S root ?? 0.00 secs Sun Aug 20 00:15
ping6.pl F root ?? 0.01 secs Sun Aug 20 00:15
sh root ?? 0.01 secs Sun Aug 20 00:15
ping S root ?? 0.01 secs Sun Aug 20 00:15
sh root ?? 0.02 secs Sun Aug 20 00:15
ping S root ?? 1.34 secs Sun Aug 20 00:15
locate root ttyp0 1.34 secs Sun Aug 20 00:15
accton S root ttyp0 0.00 secs Sun Aug 20 00:15

　　进程统计的一个问题是pacct文件可能增长的十分迅速。这时需要交互式的或经过cron机制运行sa命

令来保持日志数据在系统控制内。sa命令报告、清理并维护进程统计文件。它能把/var/log/pacct中的信

息压缩到摘要文件/var/log/savacct和/var/log/usracct中。这些摘要包含按命令名和用户名分类的系统

统计数据。sa缺省情况下先读它们，然后读pacct文件，使报告能包鈀?浴? ?? ??ゐ?!含所有的可用信息。sa的输出有下面一

些标记项：

　　avio--每次执行的平均I/O操作次数

　　cp--用户和系统时间总和，以分钟计

　　cpu--和cp一样

　　k--内核使用的平均CPU时间，以1k为单位

　　k*sec--CPU存储完整性，以1k-core秒

　　re--实时时间，以分钟计

　　s--系统时间，以分钟计

　　tio--I/O操作的总数

　　u--用户时间，以分钟计

　　例如：

842 173.26re 4.30cp 0avio 358k
2 10.98re 4.06cp 0avio 299k find
9 24.80re 0.05cp 0avio 291k ***other
105 30.44re 0.03cp 0avio 302k ping
104 30.55re 0.03cp 0avio 394k sh
162 0.11re 0.03cp 0avio 413k security.sh*
154 0.03re 0.02cp 0avio 273k ls
56 31.61re 0.02cp 0avio 823k ping6.pl*
2 3.23re 0.02cp 0avio 822k ping6.pl
35 0.02re 0.01cp 0avio 257k md5sum
97 0.02re 0.01cp 0avio 263k initlog
12 0.19re 0.01cp 0avio 399k promisc_check.s
15 0.09re 0.00cp 0avio 288k grep
11 0.08re 0.00cp 0avio 332k awk

　　用户还可以根据用户而不是命令来提供一个摘要报告。例如sa -m显示如下：

885 173.28re 4.31cp 0avk
root 879 173.23re 4.31cp 0avk
alias 3 0.05re 0.00cp 0avk
qmailp 3 0.01re 0.00cp 0avk

　　4. Syslog设备

　　Syslog已被许多日志函数采纳，它用在许多保护措施中--任何程序都可以通过syslog 纪录事件。
syslog可以纪录系统事件，可以写到一个文件或设备中，或给用户发送一个信息。它能纪录本地事件或通过

网络纪录另一个主机上的事件。

　　Syslog设备依据两个重要的文件：/etc/syslogd（守护进程）和/etc/syslog.conf配置文件，习惯上，

多数syslog信息被写到/var/adm或/var/log目录下的信息文件中（messages.*）。一个典型的syslog纪录包

括生成程序的名字和一个文本信息。它还包括一个设备和一个优先级范围（但不在日之中出现）。

　　每个syslog消息被赋予下面的主要设备之一：

　　LOG_AUTH--认证系统：login、su、getty等

　　LOG_AUTHPRIV--同LOG_AUTH，但只登录到所选择的单个用户可读的文件中

　　LOG_CRON--cron守护进程

　　LOG_DAEMON--其他系统守护进程，如routed

　　LOG_FTP--文件传输协议：ftpd、tftpd

　　LOG_KERN--内核产生的消息

　　LOG_LPR--系统打印机缓冲池：lpr、lpd

　　LOG_MAIL--电子邮件系统

　　LOG_NEWS--网络新闻系统

　　LOG_SYSLOG--由syslogd（8）产生的内部消息

　　LOG_USER--随机用户进程产生的消息

　　LOG_UUCP--UUCP子系统

　　LOG_LOCAL0~LOG_LOCAL7--为本地使用保留

　　Syslog为每个事件赋予几个不同的优先级：

　　LOG_EMERG--紧急情况

　　LOG_ALERT--应该被立即改正的问题，如系统数据库破坏

　　LOG_CRIT--重要情况，如硬盘错误

　　LOG_ERR--错误

　　LOG_WARNING--警告信息

　　LOG_NOTICE--不是错误情况，但是可能需要处理

　　LOG_INFO--情报信息

　　LOG_DEBUG--包含情报的信息，通常旨在调试一个程序时使用

　　syslog.conf文件指明syslogd程序纪录日志的行为，该程序在启动时查询配置文件。该文件由不同程

序或消息分类的单个条目组成，每个占一行。对每类消息提供一个选择域和一个动作域。这些域由tab隔开：

选择域鈀?浴? ?? ??ゐ?!指明消息的类型和优先级；动作域指明syslogd接收到一个与选择标准相匹配的消息时所执行的动作。

每个选项是由设备和优先级组成。当指明一个优先级时，syslogd将纪录一个拥有相同或更高优先级的消息。

所以如果指明"crit"，那所有标为crit、alert和emerg的消息将被纪录。每行的行动域指明当选择域选择了一个

给定消息后应该把他发送到哪儿。例如，如果想把所有邮件消息纪录到一个文件中，如下：

#Log all the mail messages in one place
mail.* /var/log/maillog

　　其他设备也有自己的日志。UUCP和news设备能产生许多外部消息。它把这些消息存到自己的日志

（/var/log/spooler）中并把级别限为"err"或更高。例如：

# Save mail and news errors of level err and higher in aspecial file.
uucp,news.crit /var/log/spooler

　　当一个紧急消息到来时，可能想让所有的用户都得到。也可能想让自己的日志接收并保存。

#Everybody gets emergency messages， plus log them on anther machine
*.emerg *
*.emerg @linuxaid.com.cn

　　alert消息应该写到root和tiger的个人账号中：

#Root and Tiger get alert and higher messages
*.alert root,tiger

　　有时syslogd将产生大量的消息。例如内核（"kern"设备）可能很冗长。用户可能想把内核消息纪录

到/dev/console中。下面的例子表明内核日志纪录被注释掉了：

#Log all kernel messages to the console
#Logging much else clutters up the screen
#kern.* /dev/console

　　用户可以在一行中指明所有的设备。下面的例子把info或更高级别的消息送到/var/log/messages，

除了mail以外。级别"none"禁止一个设备：

#Log anything（except mail）of level info or higher
#Dont log private authentication messages!
*.info:mail.none;authpriv.none /var/log/messages

　　在有些情况下，可以把日志送到打印机，这样网络入侵者怎么修改日志都没有用了。通常要广泛纪录

日志。Syslog设备是一个攻击者的显著目标。一个为其他主机维护日志的系统对于防范服务器攻击特别脆

弱，因此要特别注意。

　　有个小命令logger为syslog（3）系统日志文件提供一个shell命令接口，使用户能创建日志文件中的条

目。用法：logger 例如：logger This is a test！

　　它将产生一个如下的syslog纪录：Aug 19 22:22:34 tiger: This is a test!

　　注意不要完全相信日志，因为攻击者很容易修改它的。

　　5. 程序日志

　　许多程序通过维护日志来反映系统的安全状态。su命令允许用户获得另一个用户的权限，所以它的安全

很重要，它的文件为sulog。同样的还有sudolog。另外，想Apache有两个日志：access_log和error_log。

转自 http://blog.chinaunix.net/u2/76292/showart_1335926.html