ext3 和 ext4 文件系统具有日志功能。是否有一些 API 可以获取有关文件的详细信息或事件？
某种 API，允许用户空间程序访问文件的日志条目。甚至是日志事件，例如“文件 x 已删除”。
这似乎是某种文档，但我不确定它是否正确。
问问题
3310 次
1 回答
4
和debugfs
logdump
logdump您可以使用命令 from显示有关文件系统日志的信息debugfs。
例如，sudo debugfs -R 'logdump -S' /dev/sda3产量
Journal features: journal_incompat_revoke journal_checksum_v3
Total journal size: 512M
Total journal blocks: 131072
Max transaction length: 131072
Fast commit length: 0
Journal sequence: 0x004bd0ae
Journal start: 109412
Journal checksum type: crc32c
Journal checksum: 0x157eebb7
Journal starts at block 109412, transaction 4968622
Found expected sequence 4968622, type 5 (revoke table) at block 109412
Found expected sequence 4968622, type 1 (descriptor block) at block 109413
Found expected sequence 4968622, type 2 (commit block) at block 109419
Found expected sequence 4968623, type 1 (descriptor block) at block 109420
Found expected sequence 4968623, type 2 (commit block) at block 109422
Found expected sequence 4968624, type 1 (descriptor block) at block 109423
Found expected sequence 4968624, type 2 (commit block) at block 109425
Found expected sequence 4968625, type 1 (descriptor block) at block 109426
// rest omitted
我意识到这debugfs不是 API，但它可以访问日志。
读取日志的字节
要获取日志的原始字节，您可以debugfs再次使用。它的cat命令接受一个 inode 编号并打印 inode 指向的地址的数据。
假设期刊的 inode 号为 8：
sudo debugfs -R 'cat <8>' /dev/sda3 | hexdump -C
这以十六进制打印日志的字节。您应该在开头看到日志格式的幻数jbd2：
c0 3b 39 98
日志使用big-endian 字节顺序，而 ext4 使用 little-endian。
和jls
jls来自The Sleuth Kit还打印有关该期刊的信息。
例如，sudo jls /dev/sda3产量
JBlk Description
0: Superblock (seq: 0)
sb version: 4
sb version: 4
sb feature_compat flags 0x00000000
sb feature_incompat flags 0x00000011
JOURNAL_REVOKE
sb feature_ro_incompat flags 0x00000000
1: Unallocated Commit Block (seq: 4936768, sec: 1613471034.3277057792)
2: Unallocated Descriptor Block (seq: 4936769)
3: Unallocated FS Block 42991838
4: Unallocated FS Block 0
5: Unallocated Commit Block (seq: 4949171, sec: 1613574032.1117509120)
6: Unallocated Descriptor Block (seq: 4949172)
7: Unallocated Commit Block (seq: 4960433, sec: 1613729975.4288594432)
8: Unallocated Descriptor Block (seq: 4960434)
// rest omitted
的源代码jls在这里。
DIY
或者，您可以参考ext4 wiki使用您必须自己编写的程序来解析日志。步骤大致如下：
于 2021-02-19T18:54:01.023 回答