1

我有一个日志文件，它从我的服务器捕获文件传输详细信息，例如 rsh、sftp、ssh 会话详细信息。我只想回溯并找出更新日志文件的所有进程/脚本。我不太确定如何捕获这些信息。

日志文件如下所示：

Oct 15 11:43:35 myclient inetd[15032]: [ID 927837 daemon.info] connect from client22.mydomain.com
Oct 15 11:43:35 myclient inetd[15033]: [ID 927837 daemon.info] connect from Client101.mydomain.com
Oct 15 11:43:35 myclient inetd[15034]: [ID 927837 daemon.info] connect from client05dev.mydomain.com
Oct 15 11:43:36 myclient inetd[15038]: [ID 927837 daemon.info] connect from searay.mydomain.com
Oct 15 11:43:36 myclient in.rshd[15038]: [ID 724835 daemon.info] connect from epsadmin@searay.mydomain.com (ls -l /home/generic/fpcdetail/fpcdetail.bod.mm)
Oct 15 11:43:36 myclient inetd[15041]: [ID 927837 daemon.info] connect from pgdbsu01dev.mydomain.com
Oct 15 11:43:36 myclient in.rshd[15041]: [ID 724835 daemon.info] connect from qrtdev@pgdbsu01dev.mydomain.com (ls -l /ifeeds/filemgr/filemgr.rimes.ftspeuro_industry_prn)
Oct 15 11:43:36 myclient inetd[15040]: [ID 927837 daemon.info] connect from client22.mydomain.com
Oct 15 11:43:38 myclient inetd[15044]: [ID 927837 daemon.info] connect from client22.mydomain.com
4

1 回答 1

2

这看起来像 syslog 输出。如果是这种情况，那么您会发现唯一接触日志文件的进程是syslogd. 程序用于syslog(3)执行日志记录。通常，名称 eginetd[12345]是执行日志记录的程序的名称和进程 ID。

当您使用 solaris 时，您可以使用 dtrace 查看谁在调用 syslog - 请参阅此 dtrace one-liner了解与您正在寻找的内容相似的内容；但它仅限于被跟踪的曾经的 pid。

于 2012-10-15T16:05:49.207 回答