linux跟蹤
『壹』 linux下的日誌莫名被刪除 能跟蹤到是哪個進程 哪個程序做的刪除操作么 能的話 怎麼做
跟蹤估計需要寫底層的程序，你可以通過修改rm來進行跟蹤，但是比較復雜
而且你還需要重新編譯rm，這樣比較復雜。
你可以通過記錄rm命令的使用情況，記錄的方式可以重新寫個調用rm命令的腳本
放到執行目錄下，當執行rm命令時，記錄使用者，及其時間和登錄IP.這種shell腳本很多
你可以網路一下，檢查一下日誌的所有者許可權，針對有可能讀寫日誌的用戶進行監控。
縮小日誌讀寫操作范圍。因為具體不知道你被刪的是那些日誌文件，而且是怎麼刪除的，
是日誌消失了。還是日誌存在但是被清空了。你也可以寫個腳本對這個日誌文件進行監控，
針對不同情況，當發生問題時告警，因為不知道你的具體情況不好分析，我只能簡單的說說。
『貳』 linux系統 如何跟蹤查看還在不斷寫入的日誌
tail -f /var/log/messages //時實查看日誌情況
『叄』 linux安裝全鏈路追蹤工具skywalking8.0
SkyWalking是一個針對分布式系統的APM（應用性能監控）系統，特別針對微服務、cloud native和容器化架構，其核心是個分布式追蹤系統。它通過探針自動收集所需的指標，且基於探針技術對應用零侵入零耦合。通過這些調用鏈路以及指標，SkyWalking APM會感知應用間關系和服務間關系，並進行相應的指標統計。
解壓後，進入目錄，默認自帶了agent，這個是用來追蹤java項目的。我因為是用來追蹤php項目，所以這個用不上，如果要追蹤php項目，需要另外安裝php的agent，請查看我另外一篇文章( linux安裝sky-php-agent )
bin裡面是啟動文件
config目錄裡面是配置文件
webapp目錄裡面是UI界面項目文件和配置文件
默認情況下，只需要更改一下 config/application.yml文件
默認的restHost和gRPCHost的IP為0.0.0.0，我這里改成我這邊內網的IP。這里要注意一下，一旦改了IP，就只能用這個IP，比如我這里改成了內網IP，那麼用127.0.0.1都不能訪問。
如果需要更改UI界面訪問的埠，可以修改 webapp/webapp.yml，裡面配置文件很簡單
注意一下，如果要想能夠讓受控端訪問到skywalking服務，那麼必須將12800埠對受控端伺服器打開。WEB界面的埠，我這里是8081，大家可以改成自己需要的埠。
變更完配置後，就可以進去bin目錄下，運行 startup.sh ，服務就會啟動。然後通過http://伺服器ip:8081進行界面訪問。
受控端如果也啟動了的話，這個時候，界面里就自動會出現數據了。
emmmm.....這里有個坑，默認情況下，打開界面什麼數據都看不到，這個需要點擊右上角的「自動」按鈕，讓按鈕變成藍色，這個時候就會有數據出現了。
如果還是沒有出現數據，那就檢查受控端服務是不是已經啟動了，或者去看一下logs目錄下的日誌。如果受控端連接服務端出現錯誤，就看skywalking-oap-server.log；如果受控端一切正常，界面數據還是不顯示，就看webapp.log
我在安裝的時候，使用startup.sh啟動文件，又遇到一個坑。這個啟動文件，無論中間是不是有報錯，都會提示啟動成功。而且因為沒有停止的命令，如果重復運行startup.sh，日誌里會提示埠佔用。這個時候，需要使用命令先查看佔用埠的進程，然後殺掉進程，再重新運營啟動文件才可以。
『肆』 如何在linux下讓一個命令一直運行，然後跟蹤結果日誌
如果是定期執行一個命令，比如10分鍾執行一次，用crontab：
編輯/etc/crontab,添加：*/10 * * * * your_commond
如果是的命令需要不停執行，那麼把它放在一個while循環中。
vi myshell.sh
#!/bin/bash
while true
do
you_command
echo "something you want to log" >> /tmp/myshell.log
done
檢查/tmp/myshell.log
『伍』 如何在Linux用戶和內核空間中進行動態跟蹤
你不記得如何在代碼中插入探針點了嗎？ 沒問題！了解如何使用uprobe和kprobe來動態插入它們吧。 基本上，程序員需要在源代碼匯編指令的不同位置插入動態探針點。
探針點
探針點是一個調試語句，有助於探索軟體的執行特性（即，執行流程以及當探針語句執行時軟體數據結構的狀態）。printk是探針語句的最簡單形式，也是黑客用於內核攻擊的基礎工具之一。
因為它需要重新編譯源代碼，所以printk插入是靜態的探測方法。內核代碼中重要位置上還有許多其他靜態跟蹤點可以動態啟用或禁用。 Linux內核有一些框架可以幫助程序員探測內核或用戶空間應用程序，而無需重新編譯源代碼。Kprobe是在內核代碼中插入探針點的動態方法之一，並且uprobe在用戶應用程序中執行此操作。
使用uprobe跟蹤用戶空間
可以通過使用thesysfs介面或perf工具將uprobe跟蹤點插入用戶空間代碼。
使用sysfs介面插入uprobe
考慮以下簡單測試代碼，沒有列印語句，我們想在某個指令中插入探針：
[source,c\n.test.c
#include <stdio.h>\n#include <stdlib.h>\n#include <unistd.h>
編譯代碼並找到要探測的指令地址：
# gcc -o test test.\n# objmp -d test
假設我們在ARM64平台上有以下目標代碼：
0000000000400620 <func_1>: 400620\t90000080\tadr\tx0, 410000 <__FRAME_END__+0xf6f8>
並且我們想在偏移量0x620和0x644之間插入探針。執行以下命令：
# echo 'p:func_2_entry test:0x620' > /sys/kernel/debug/tracing/uprobe_event\n# echo 'p:func_1_entry test:0x644' >> /sys/kernel/debug/tracing/uprobe_event\n# echo 1 > /sys/kernel/debug/tracing/events/uprobes/enable# ./test&
在上面的第一個和第二個echo語句中，p告訴我們這是一個簡單的測試。（探測器可以是簡單的或返回的。）func_n_entry是我們在跟蹤輸出中看到的名稱，名稱是可選欄位，如果沒有提供，我們應該期待像p_test_0x644這樣的名字。test 是我們要插入探針的可執行二進制文件。如果test 不在當前目錄中，則需要指定path_to_test / test。
0x620或0x640是從程序啟動開始的指令偏移量。請注意>>在第二個echo語句中，因為我們要再添加一個探針。所以，當我們在前兩個命令中插入探針點之後，我們啟用uprobe跟蹤，當我們寫入events/ uprobes / enable時，它將啟用所有的uprobe事件。程序員還可以通過寫入在該事件目錄中創建的特定事件文件來啟用單個事件。一旦探針點被插入和啟用，每當執行探測指令時，我們可以看到一個跟蹤條目。
讀取跟蹤文件以查看輸出：
# cat /sys/kernel/debug/tracing/trac\n# tracer: no\n\n# entries-in-buffer/entries-written: 8/8\n#P:\n\n# _-----=> irqs-of\n# / _----=> need-resche\n# | / _---=> hardirq/softir\n# || / _--=> preempt-dept\n# ||| / dela\n# TASK-PID CP\n# |||| TIMESTAMP FUNCTION# | | | |||| | |
我們可以看到哪個CPU完成了什麼任務，什麼時候執行了探測指令。
返回探針也可以插入指令。當返回該指令的函數時，將記錄一個條目：
# echo 0 > /sys/kernel/debug/tracing/events/uprobes/enabl\n# echo 'r:func_2_exit test:0x620' >> /sys/kernel/debug/tracing/uprobe_event\n# echo 'r:func_1_exit test:0x644' >> /sys/kernel/debug/tracing/uprobe_event\n# echo 1 > /sys/kernel/debug/tracing/events/uprobes/enable
這里我們使用r而不是p，所有其他參數是相同的。請注意，如果要插入新的探測點，需要禁用uprobe事件：
test-3009 [002] .... 4813.852674: func_1_entry: (0x400644)
上面的日誌表明，func_1返回到地址0x4006b0，時間戳為4813.852691。
# echo 0 > /sys/kernel/debug/tracing/events/uprobes/enabl\n# echo 'p:func_2_entry test:0x630' > /sys/kernel/debug/tracing/uprobe_events count=%x\n# echo 1 > /sys/kernel/debug/tracing/events/uprobes/enabl\n# echo > /sys/kernel/debug/tracing/trace# ./test&
當執行偏移量0x630的指令時，將列印ARM64 x1寄存器的值作為count =。
輸出如下所示：
test-3095 [003] .... 7918.629728: func_2_entry: (0x400630) count=0x1
使用perf插入uprobe
找到需要插入探針的指令或功能的偏移量很麻煩，而且需要知道分配給局部變數的CPU寄存器的名稱更為復雜。 perf是一個有用的工具，用於幫助引導探針插入源代碼中。
除了perf，還有一些其他工具，如SystemTap，DTrace和LTTng，可用於內核和用戶空間跟蹤；然而，perf與內核配合完美，所以它受到內核程序員的青睞。
# gcc -g -o test test.c# perf probe -x ./test func_2_entry=func_\n# perf probe -x ./test func_2_exit=func_2%retur\n# perf probe -x ./test test_15=test.c:1\n# perf probe -x ./test test_25=test.c:25 numbe\n# perf record -e probe_test:func_2_entry -e\nprobe_test:func_2_exit -e probe_test:test_15\n-e probe_test:test_25 ./test
如上所示，程序員可以將探針點直接插入函數start和return，源文件的特定行號等。可以獲取列印的局部變數，並擁有許多其他選項，例如調用函數的所有實例。 perf探針用於創建探針點事件，那麼在執行./testexecutable時，可以使用perf記錄來探測這些事件。當創建一個perf探測點時，可以使用其他錄音選項，例如perf stat，可以擁有許多後期分析選項，如perf腳本或perf報告。
使用perf腳本，上面的例子輸出如下：
# perf script
使用kprobe跟蹤內核空間
與uprobe一樣，可以使用sysfs介面或perf工具將kprobe跟蹤點插入到內核代碼中。
使用sysfs介面插入kprobe
程序員可以在/proc/kallsyms中的大多數符號中插入kprobe；其他符號已被列入內核的黑名單。還有一些與kprobe插入不兼容的符號，比如kprobe_events文件中的kprobe插入將導致寫入錯誤。 也可以在符號基礎的某個偏移處插入探針，像uprobe一樣，可以使用kretprobe跟蹤函數的返回，局部變數的值也可以列印在跟蹤輸出中。
以下是如何做：
; disable all events, just to insure that we see only kprobe output in trace\n# echo 0 > /sys/kernel/debug/tracing/events/enable; disable kprobe events until probe points are inseted\n# echo 0 > /sys/kernel/debug/tracing/events/kprobes/enable; clear out all the events from kprobe_events\n to insure that we see output for; only those for which we have enabled
[root@pratyush ~\n# more /sys/kernel/debug/tracing/trace# tracer: no\n\n# entries-in-buffer/entries-written: 9037/9037\n#P:8\n# _-----=> irqs-of\n# / _----=> need-resche\n# | / _---=> hardirq/softirq#\n|| / _--=> preempt-depth#\n ||| / delay# TASK-PID CPU#\n |||| TIMESTAMP FUNCTION#\n | | | |||| | |
使用perf插入kprobe
與uprobe一樣，程序員可以使用perf在內核代碼中插入一個kprobe，可以直接將探針點插入到函數start和return中，源文件的特定行號等。程序員可以向-k選項提供vmlinux，也可以為-s選項提供內核源代碼路徑：
# perf probe -k vmlinux kfree_entry=kfre\n# perf probe -k vmlinux kfree_exit=kfree%retur\n# perf probe -s ./ kfree_mid=mm/slub.c:3408 \n# perf record -e probe:kfree_entry -e probe:kfree_exit -e probe:kfree_mid sleep 10
使用perf腳本，以上示例的輸出：
關於Linux命令的介紹，看看《linux就該這么學》，具體關於這一章地址3w(dot)linuxprobe/chapter-02(dot)html
『陸』 linux操作系統環境如何實時跟蹤後台日誌
一般日誌都會寫入/var/log的文件中
你只需要查看這個目錄下的文件內容就可以了
如果你要實時跟蹤，那就tail -f filename開著就行了
『柒』 在linux中,使用命令跟蹤/tmp/applog日誌,隨著日誌的刷新,屏幕上也顯示相應的信息
tail -f /tmp/applog
『捌』 linux:如何跟蹤mysql執行的sql語句
是指應用程序的方法吧。如果你是用hibernate、iBATIS等連接資料庫，直接從log4j配置文件中打開調試模式就行，如果用的自己寫的jdbc連接，那就只能在執行前列印了
『玖』 關於LINUX最基本的一些命令
Linux運維人員必會的120個命令
跟老男孩學Linux運維：核心系統命令實戰
前言
第1章 Linux命令行簡介 / 1
1.1Linux命令行概述 / 1
1.2在Linux命令行下查看命令幫助 / 4
1.3Linux shutdown reboot halt / 9
關機：
shutdown -h now
halt
init 0
第2章 文件和目錄操作命令 / 13
2.1pwd：顯示當前所在的位置 / 13
2.2cd：切換目錄 / 16
2.3tree：以樹形結構顯示目錄下的內容 / 18
2.4mkdir：創建目錄 / 22
2.5touch：創建空文件或改變文件的時間戳屬性 / 27
2.6ls：顯示目錄下的內容及相關屬性信息 / 30
2.7cp：復制文件或目錄 / 39
2.8mv：移動或重命名文件 / 42
2.9rm：刪除文件或目錄 / 45
2.10rmdir：刪除空目錄 / 48
2.11ln：硬鏈接與軟鏈接 / 49
2.12readlink：查看符號鏈接文件的內容 / 54
2.13find：查找目錄下的文件 / 55
2.14xargs：將標准輸入轉換成命令行參數 / 68
2.15rename：重命名文件 / 71
2.16basename：顯示文件名或目錄名 / 72
2.17dirname：顯示文件或目錄路徑 / 72
2.18chattr：改變文件的擴展屬性 / 73
2.19lsattr：查看文件擴展屬性 / 75
2.20file：顯示文件的類型 / 76
2.21md5sum：計算和校驗文件的MD5值 / 77
2.22chown：改變文件或目錄的用戶和用戶組 / 80
2.23chmod：改變文件或目錄許可權 / 81
2.24chgrp：更改文件用戶組 / 85
2.25umask：顯示或設置許可權掩碼 / 86
2.26老男孩從新手成為技術大牛的心法 / 90
第3章 文件過濾及內容編輯處理命令 / 91
3.1cat：合並文件或查看文件內容 / 91
3.2tac：反向顯示文件內容 / 103
3.3more：分頁顯示文件內容 / 104
3.4less：分頁顯示文件內容 / 107
3.5head：顯示文件內容頭部 / 109
3.6tail：顯示文件內容尾部 / 111
3.7tailf：跟蹤日誌文件 / 114
3.8cut：從文本中提取一段文字並輸出 / 115
3.9split：分割文件 / 117
3.10paste：合並文件 / 118
3.11sort：文本排序 / 123
3.12join：按兩個文件的相同欄位合並 / 127
3.13uniq：去除重復行 / 129
3.14wc：統計文件的行數、單詞數或位元組數 / 131
3.15iconv：轉換文件的編碼格式 / 133
3.16dos2unix：將DOS格式文件轉換成UNIX格式 / 134
3.17diff：比較兩個文件的不同 / 135
3.18vimdiff：可視化比較工具 / 138
3.19rev：反向輸出文件內容 / 139
3.20tr：替換或刪除字元 / 140
3.21od：按不同進制顯示文件 / 143
3.22tee：多重定向 / 145
3.23vi/vim：純文本編輯器 / 147
3.24老男孩逆襲思想：做Linux運維的多個好處 / 152
第4章 文本處理三劍客 / 153
4.1grep：文本過濾工具 / 153
4.2sed：字元流編輯器 / 159
4.3awk基礎入門 / 165
第5章 Linux信息顯示與搜索文件命令 / 176
5.1uname：顯示系統信息 / 176
5.2hostname：顯示或設置系統的主機名 / 178
5.3dmesg：系統啟動異常診斷 / 179
5.4stat：顯示文件或文件系統狀態 / 181
5.5：統計磁碟空間使用情況 / 183
5.6date：顯示與設置系統時間 / 186
5.7echo：顯示一行文本 / 190
5.8watch：監視命令執行情況 / 193
5.9which：顯示命令的全路徑 / 195
5.10whereis：顯示命令及其相關文件全路徑 / 196
5.11locate：快速定位文件路徑 / 197
5.12updatedb：更新mlocate資料庫 / 199
5.13老男孩逆襲思想：新手在工作中如何問問題不會被鄙視 / 200
第6章 文件備份與壓縮命令 / 201
6.1tar：打包備份 / 201
6.2gzip：壓縮或解壓文件 / 208
6.3zip：打包和壓縮文件 / 211
6.4unzip：解壓zip文件 / 212
6.5scp：遠程文件復制 / 214
6.6rsync：文件同步工具 / 216
6.7老男孩逆襲思想：新手如何高效地提問 / 220
第7章 Linux用戶管理及用戶信息查詢命令 / 222
7.1 useradd：創建用戶 / 222
7.2usermod：修改用戶信息 / 227
7.3userdel：刪除用戶 / 229
7.4groupadd：創建新的用戶組 / 230
7.5groupdel：刪除用戶組 / 231
7.6passwd：修改用戶密碼 / 232
7.7chage:修改用戶密碼有效期 / 237
7.8chpasswd：批量更新用戶密碼 / 238
7.9su：切換用戶 / 240
7.10visudo：編輯sudoers文件 / 242
7.11sudo：以另一個用戶身份執行命令 / 244
7.12id：顯示用戶與用戶組的信息 / 248
7.13w：顯示已登錄用戶信息 / 249
7.14who：顯示已登錄用戶信息 / 250
7.15users：顯示已登錄用戶 / 252
7.16whoami：顯示當前登錄的用戶名 / 253
7.17last：顯示用戶登錄列表 / 253
7.18lastb：顯示用戶登錄失敗的記錄 / 254
7.19lastlog：顯示所有用戶的最近登錄記錄 / 255
第8章 Linux磁碟與文件系統管理命令 / 257
8.1fdisk：磁碟分區工具 / 257
8.2partprobe：更新內核的硬碟分區表信息 / 265
8.3tune2fs：調整ext2/ext3/ext4文件系統參數 / 266
8.4parted：磁碟分區工具 / 268
8.5mkfs：創建Linux文件系統 / 272
8.6mpe2fs：導出ext2/ext3/ext4文件系統信息 / 274
8.7resize2fs：調整ext2/ext3/ext4文件系統大小 / 275
8.8fsck：檢查並修復Linux文件系統 / 278
8.9dd：轉換或復制文件 / 281
8.10mount：掛載文件系統 / 284
8.11umount：卸載文件系統 / 288
8.12df：報告文件系統磁碟空間的使用情況 / 289
8.13mkswap：創建交換分區 / 293
8.14swapon：激活交換分區 / 294
8.15swapoff：關閉交換分區 / 295
8.16sync：刷新文件系統緩沖區 / 296
第9章 Linux進程管理命令 / 298
9.1ps：查看進程 / 298
9.2pstree：顯示進程狀態樹 / 305
9.3pgrep：查找匹配條件的進程 / 306
9.4kill：終止進程 / 307
9.5killall：通過進程名終止進程 / 310
9.6pkill：通過進程名終止進程 / 311
9.7top：實時顯示系統中各個進程的資源佔用狀況 / 313
9.8nice：調整程序運行時的優先順序 / 320
9.9renice：調整運行中的進程的優先順序 / 323
9.10nohup：用戶退出系統進程繼續工作 / 324
9.11strace：跟蹤進程的系統調用 / 325
9.12ltrace：跟蹤進程調用庫函數 / 332
9.13runlevel：輸出當前運行級別 / 334
9.14init：初始化Linux進程 / 335
9.15service：管理系統服務 / 335
第10章 Linux網路管理命令 / 338
10.1ifconfig：配置或顯示網路介面信息 / 338
10.2ifup：激活網路介面 / 343
ifup eth0
10.3ifdown：禁用網路介面 / 343
ifdown eth0
service network restart（/etc/init.d/network restart） 激活整個網路，所有網卡。
10.4route：顯示或管理路由表 / 344
10.5arp：管理系統的arp緩存 / 350
10.6ip：網路配置工具 / 351
10.7netstat：查看網路狀態 / 358
10.8ss：查看網路狀態 / 362
10.9ping：測試主機之間網路的連通性 / 363
10.10traceroute：追蹤數據傳輸路由狀況 / 366
10.11arping：發送arp請求 / 367
10.12telnet：遠程登錄主機 / 369
10.13nc：多功能網路工具 / 370
10.14ssh：安全地遠程登錄主機 / 373
10.15wget：命令行下載工具 / 376
10.16mailq：顯示郵件傳輸隊列 / 379
10.17mail：發送和接收郵件 / 381
10.18nslookup：域名查詢工具 / 386
10.19dig：域名查詢工具 / 389
10.20host：域名查詢工具 / 393
10.21nmap：網路探測工具和安全/埠掃描器 / 394
10.22tcpmp：監聽網路流量 / 398
第11章 Linux系統管理命令 / 407
11.1lsof：查看進程打開的文件 / 407
11.2uptime：顯示系統的運行時間及負載 / 411
11.3free：查看系統內存信息 / 411
11.4iftop：動態顯示網路介面流量信息 / 413
11.5vmstat：虛擬內存統計 / 415
11.6mpstat：CPU信息統計 / 419
11.7iostat：I/O信息統計 / 420
11.8iotop：動態顯示磁碟I/O統計信息 / 423
11.9sar：收集系統信息 / 425
11.10chkconfig：管理開機服務 / 430
11.11ntsysv：管理開機服務 / 433
11.12 setup：系統管理工具 / 434
11.13ethtool：查詢網卡參數 / 436
11.14mii-tool：管理網路介面的狀態 / 437
11.19rpm：RPM包管理器 / 443
11.20yum：自動化RPM包管理工具 / 446
top命令
第12章 Linux系統常用內置命令 / 450
12.1Linux內置命令概述 / 450
12.2Linux內置命令簡介 / 450
12.3Linux常用內置命令實例 / 452
『拾』 Linux系統中tracert命令使用詳解
Linux系統中Tracert命令用來顯示數據包到達目標主機是所經過的路徑。下面由我為大家整理了linux系統中tracert命令使用詳解，希望對大家有幫助!
Linux系統中tracert命令使用詳解
Tracert命令用來顯示數據包到達目標主機所經過的路徑，並顯示到達每個節點的時間。命令功能同Ping類似，但它所獲得的信息要比Ping命令詳細得多，它把數據包所走的全部路徑、節點的IP以及花費的時間都顯示出來。該命令比較適用於大型網路。
命令格式：
tracert IP地址或主機名 [-d][-h maximumhops][-j host_list] [-w timeout]
參數含義：
-d 不解析目標主機的名字;
-h maximum_hops 指定搜索到目標地址的最大跳躍數;
-j host_list 按照主機列表中的地址釋放源路由;
-w timeout 指定超時時間間隔，程序默認的時間單位是毫秒。
linux系統中tracert命令用法
tracert [-d] [-h maximum_hops] [-j computer-list] [-w timeout] target_name
如果不使用參數，將顯示連接情況，如圖2-23所示。
補充：linux系統中tracert命令原理
tracert命令也稱作路由跟蹤命令，用於確定IP資料庫包訪問目標所採取的路徑，通過IP生成時間(TTL)欄位和ICMP錯誤信息來確定，從個網路到主機之間的網路狀況。
tracert命令原理與ping命令為相似，都是通過向目標發送數據包，並通過數據包響應及丟失情況，從而判斷本地與目標主機之間的網路狀況，所不同的是tracert命令能夠反映出網路中各個路由節點信息，以及網路狀況，並且可以用以跟蹤路由節點，以及監控伺服器狀況等作用。