linux跟踪
‘壹’ linux下的日志莫名被删除 能跟踪到是哪个进程 哪个程序做的删除操作么 能的话 怎么做
跟踪估计需要写底层的程序，你可以通过修改rm来进行跟踪，但是比较复杂
而且你还需要重新编译rm，这样比较复杂。
你可以通过记录rm命令的使用情况，记录的方式可以重新写个调用rm命令的脚本
放到执行目录下，当执行rm命令时，记录使用者，及其时间和登录IP.这种shell脚本很多
你可以网络一下，检查一下日志的所有者权限，针对有可能读写日志的用户进行监控。
缩小日志读写操作范围。因为具体不知道你被删的是那些日志文件，而且是怎么删除的，
是日志消失了。还是日志存在但是被清空了。你也可以写个脚本对这个日志文件进行监控，
针对不同情况，当发生问题时告警，因为不知道你的具体情况不好分析，我只能简单的说说。
‘贰’ linux系统 如何跟踪查看还在不断写入的日志
tail -f /var/log/messages //时实查看日志情况
‘叁’ linux安装全链路追踪工具skywalking8.0
SkyWalking是一个针对分布式系统的APM（应用性能监控）系统，特别针对微服务、cloud native和容器化架构，其核心是个分布式追踪系统。它通过探针自动收集所需的指标，且基于探针技术对应用零侵入零耦合。通过这些调用链路以及指标，SkyWalking APM会感知应用间关系和服务间关系，并进行相应的指标统计。
解压后，进入目录，默认自带了agent，这个是用来追踪java项目的。我因为是用来追踪php项目，所以这个用不上，如果要追踪php项目，需要另外安装php的agent，请查看我另外一篇文章( linux安装sky-php-agent )
bin里面是启动文件
config目录里面是配置文件
webapp目录里面是UI界面项目文件和配置文件
默认情况下，只需要更改一下 config/application.yml文件
默认的restHost和gRPCHost的IP为0.0.0.0，我这里改成我这边内网的IP。这里要注意一下，一旦改了IP，就只能用这个IP，比如我这里改成了内网IP，那么用127.0.0.1都不能访问。
如果需要更改UI界面访问的端口，可以修改 webapp/webapp.yml，里面配置文件很简单
注意一下，如果要想能够让受控端访问到skywalking服务，那么必须将12800端口对受控端服务器打开。WEB界面的端口，我这里是8081，大家可以改成自己需要的端口。
变更完配置后，就可以进去bin目录下，运行 startup.sh ，服务就会启动。然后通过http://服务器ip:8081进行界面访问。
受控端如果也启动了的话，这个时候，界面里就自动会出现数据了。
emmmm.....这里有个坑，默认情况下，打开界面什么数据都看不到，这个需要点击右上角的“自动”按钮，让按钮变成蓝色，这个时候就会有数据出现了。
如果还是没有出现数据，那就检查受控端服务是不是已经启动了，或者去看一下logs目录下的日志。如果受控端连接服务端出现错误，就看skywalking-oap-server.log；如果受控端一切正常，界面数据还是不显示，就看webapp.log
我在安装的时候，使用startup.sh启动文件，又遇到一个坑。这个启动文件，无论中间是不是有报错，都会提示启动成功。而且因为没有停止的命令，如果重复运行startup.sh，日志里会提示端口占用。这个时候，需要使用命令先查看占用端口的进程，然后杀掉进程，再重新运营启动文件才可以。
‘肆’ 如何在linux下让一个命令一直运行，然后跟踪结果日志
如果是定期执行一个命令，比如10分钟执行一次，用crontab：
编辑/etc/crontab,添加：*/10 * * * * your_commond
如果是的命令需要不停执行，那么把它放在一个while循环中。
vi myshell.sh
#!/bin/bash
while true
do
you_command
echo "something you want to log" >> /tmp/myshell.log
done
检查/tmp/myshell.log
‘伍’ 如何在Linux用户和内核空间中进行动态跟踪
你不记得如何在代码中插入探针点了吗？ 没问题！了解如何使用uprobe和kprobe来动态插入它们吧。 基本上，程序员需要在源代码汇编指令的不同位置插入动态探针点。
探针点
探针点是一个调试语句，有助于探索软件的执行特性（即，执行流程以及当探针语句执行时软件数据结构的状态）。printk是探针语句的最简单形式，也是黑客用于内核攻击的基础工具之一。
因为它需要重新编译源代码，所以printk插入是静态的探测方法。内核代码中重要位置上还有许多其他静态跟踪点可以动态启用或禁用。 Linux内核有一些框架可以帮助程序员探测内核或用户空间应用程序，而无需重新编译源代码。Kprobe是在内核代码中插入探针点的动态方法之一，并且uprobe在用户应用程序中执行此操作。
使用uprobe跟踪用户空间
可以通过使用thesysfs接口或perf工具将uprobe跟踪点插入用户空间代码。
使用sysfs接口插入uprobe
考虑以下简单测试代码，没有打印语句，我们想在某个指令中插入探针：
[source,c\n.test.c
#include <stdio.h>\n#include <stdlib.h>\n#include <unistd.h>
编译代码并找到要探测的指令地址：
# gcc -o test test.\n# objmp -d test
假设我们在ARM64平台上有以下目标代码：
0000000000400620 <func_1>: 400620\t90000080\tadr\tx0, 410000 <__FRAME_END__+0xf6f8>
并且我们想在偏移量0x620和0x644之间插入探针。执行以下命令：
# echo 'p:func_2_entry test:0x620' > /sys/kernel/debug/tracing/uprobe_event\n# echo 'p:func_1_entry test:0x644' >> /sys/kernel/debug/tracing/uprobe_event\n# echo 1 > /sys/kernel/debug/tracing/events/uprobes/enable# ./test&
在上面的第一个和第二个echo语句中，p告诉我们这是一个简单的测试。（探测器可以是简单的或返回的。）func_n_entry是我们在跟踪输出中看到的名称，名称是可选字段，如果没有提供，我们应该期待像p_test_0x644这样的名字。test 是我们要插入探针的可执行二进制文件。如果test 不在当前目录中，则需要指定path_to_test / test。
0x620或0x640是从程序启动开始的指令偏移量。请注意>>在第二个echo语句中，因为我们要再添加一个探针。所以，当我们在前两个命令中插入探针点之后，我们启用uprobe跟踪，当我们写入events/ uprobes / enable时，它将启用所有的uprobe事件。程序员还可以通过写入在该事件目录中创建的特定事件文件来启用单个事件。一旦探针点被插入和启用，每当执行探测指令时，我们可以看到一个跟踪条目。
读取跟踪文件以查看输出：
# cat /sys/kernel/debug/tracing/trac\n# tracer: no\n\n# entries-in-buffer/entries-written: 8/8\n#P:\n\n# _-----=> irqs-of\n# / _----=> need-resche\n# | / _---=> hardirq/softir\n# || / _--=> preempt-dept\n# ||| / dela\n# TASK-PID CP\n# |||| TIMESTAMP FUNCTION# | | | |||| | |
我们可以看到哪个CPU完成了什么任务，什么时候执行了探测指令。
返回探针也可以插入指令。当返回该指令的函数时，将记录一个条目：
# echo 0 > /sys/kernel/debug/tracing/events/uprobes/enabl\n# echo 'r:func_2_exit test:0x620' >> /sys/kernel/debug/tracing/uprobe_event\n# echo 'r:func_1_exit test:0x644' >> /sys/kernel/debug/tracing/uprobe_event\n# echo 1 > /sys/kernel/debug/tracing/events/uprobes/enable
这里我们使用r而不是p，所有其他参数是相同的。请注意，如果要插入新的探测点，需要禁用uprobe事件：
test-3009 [002] .... 4813.852674: func_1_entry: (0x400644)
上面的日志表明，func_1返回到地址0x4006b0，时间戳为4813.852691。
# echo 0 > /sys/kernel/debug/tracing/events/uprobes/enabl\n# echo 'p:func_2_entry test:0x630' > /sys/kernel/debug/tracing/uprobe_events count=%x\n# echo 1 > /sys/kernel/debug/tracing/events/uprobes/enabl\n# echo > /sys/kernel/debug/tracing/trace# ./test&
当执行偏移量0x630的指令时，将打印ARM64 x1寄存器的值作为count =。
输出如下所示：
test-3095 [003] .... 7918.629728: func_2_entry: (0x400630) count=0x1
使用perf插入uprobe
找到需要插入探针的指令或功能的偏移量很麻烦，而且需要知道分配给局部变量的CPU寄存器的名称更为复杂。 perf是一个有用的工具，用于帮助引导探针插入源代码中。
除了perf，还有一些其他工具，如SystemTap，DTrace和LTTng，可用于内核和用户空间跟踪；然而，perf与内核配合完美，所以它受到内核程序员的青睐。
# gcc -g -o test test.c# perf probe -x ./test func_2_entry=func_\n# perf probe -x ./test func_2_exit=func_2%retur\n# perf probe -x ./test test_15=test.c:1\n# perf probe -x ./test test_25=test.c:25 numbe\n# perf record -e probe_test:func_2_entry -e\nprobe_test:func_2_exit -e probe_test:test_15\n-e probe_test:test_25 ./test
如上所示，程序员可以将探针点直接插入函数start和return，源文件的特定行号等。可以获取打印的局部变量，并拥有许多其他选项，例如调用函数的所有实例。 perf探针用于创建探针点事件，那么在执行./testexecutable时，可以使用perf记录来探测这些事件。当创建一个perf探测点时，可以使用其他录音选项，例如perf stat，可以拥有许多后期分析选项，如perf脚本或perf报告。
使用perf脚本，上面的例子输出如下：
# perf script
使用kprobe跟踪内核空间
与uprobe一样，可以使用sysfs接口或perf工具将kprobe跟踪点插入到内核代码中。
使用sysfs接口插入kprobe
程序员可以在/proc/kallsyms中的大多数符号中插入kprobe；其他符号已被列入内核的黑名单。还有一些与kprobe插入不兼容的符号，比如kprobe_events文件中的kprobe插入将导致写入错误。 也可以在符号基础的某个偏移处插入探针，像uprobe一样，可以使用kretprobe跟踪函数的返回，局部变量的值也可以打印在跟踪输出中。
以下是如何做：
; disable all events, just to insure that we see only kprobe output in trace\n# echo 0 > /sys/kernel/debug/tracing/events/enable; disable kprobe events until probe points are inseted\n# echo 0 > /sys/kernel/debug/tracing/events/kprobes/enable; clear out all the events from kprobe_events\n to insure that we see output for; only those for which we have enabled
[root@pratyush ~\n# more /sys/kernel/debug/tracing/trace# tracer: no\n\n# entries-in-buffer/entries-written: 9037/9037\n#P:8\n# _-----=> irqs-of\n# / _----=> need-resche\n# | / _---=> hardirq/softirq#\n|| / _--=> preempt-depth#\n ||| / delay# TASK-PID CPU#\n |||| TIMESTAMP FUNCTION#\n | | | |||| | |
使用perf插入kprobe
与uprobe一样，程序员可以使用perf在内核代码中插入一个kprobe，可以直接将探针点插入到函数start和return中，源文件的特定行号等。程序员可以向-k选项提供vmlinux，也可以为-s选项提供内核源代码路径：
# perf probe -k vmlinux kfree_entry=kfre\n# perf probe -k vmlinux kfree_exit=kfree%retur\n# perf probe -s ./ kfree_mid=mm/slub.c:3408 \n# perf record -e probe:kfree_entry -e probe:kfree_exit -e probe:kfree_mid sleep 10
使用perf脚本，以上示例的输出：
关于Linux命令的介绍，看看《linux就该这么学》，具体关于这一章地址3w(dot)linuxprobe/chapter-02(dot)html
‘陆’ linux操作系统环境如何实时跟踪后台日志
一般日志都会写入/var/log的文件中
你只需要查看这个目录下的文件内容就可以了
如果你要实时跟踪，那就tail -f filename开着就行了
‘柒’ 在linux中,使用命令跟踪/tmp/applog日志,随着日志的刷新,屏幕上也显示相应的信息
tail -f /tmp/applog
‘捌’ linux:如何跟踪mysql执行的sql语句
是指应用程序的方法吧。如果你是用hibernate、iBATIS等连接数据库，直接从log4j配置文件中打开调试模式就行，如果用的自己写的jdbc连接，那就只能在执行前打印了
‘玖’ 关于LINUX最基本的一些命令
Linux运维人员必会的120个命令
跟老男孩学Linux运维：核心系统命令实战
前言
第1章 Linux命令行简介 / 1
1.1Linux命令行概述 / 1
1.2在Linux命令行下查看命令帮助 / 4
1.3Linux shutdown reboot halt / 9
关机：
shutdown -h now
halt
init 0
第2章 文件和目录操作命令 / 13
2.1pwd：显示当前所在的位置 / 13
2.2cd：切换目录 / 16
2.3tree：以树形结构显示目录下的内容 / 18
2.4mkdir：创建目录 / 22
2.5touch：创建空文件或改变文件的时间戳属性 / 27
2.6ls：显示目录下的内容及相关属性信息 / 30
2.7cp：复制文件或目录 / 39
2.8mv：移动或重命名文件 / 42
2.9rm：删除文件或目录 / 45
2.10rmdir：删除空目录 / 48
2.11ln：硬链接与软链接 / 49
2.12readlink：查看符号链接文件的内容 / 54
2.13find：查找目录下的文件 / 55
2.14xargs：将标准输入转换成命令行参数 / 68
2.15rename：重命名文件 / 71
2.16basename：显示文件名或目录名 / 72
2.17dirname：显示文件或目录路径 / 72
2.18chattr：改变文件的扩展属性 / 73
2.19lsattr：查看文件扩展属性 / 75
2.20file：显示文件的类型 / 76
2.21md5sum：计算和校验文件的MD5值 / 77
2.22chown：改变文件或目录的用户和用户组 / 80
2.23chmod：改变文件或目录权限 / 81
2.24chgrp：更改文件用户组 / 85
2.25umask：显示或设置权限掩码 / 86
2.26老男孩从新手成为技术大牛的心法 / 90
第3章 文件过滤及内容编辑处理命令 / 91
3.1cat：合并文件或查看文件内容 / 91
3.2tac：反向显示文件内容 / 103
3.3more：分页显示文件内容 / 104
3.4less：分页显示文件内容 / 107
3.5head：显示文件内容头部 / 109
3.6tail：显示文件内容尾部 / 111
3.7tailf：跟踪日志文件 / 114
3.8cut：从文本中提取一段文字并输出 / 115
3.9split：分割文件 / 117
3.10paste：合并文件 / 118
3.11sort：文本排序 / 123
3.12join：按两个文件的相同字段合并 / 127
3.13uniq：去除重复行 / 129
3.14wc：统计文件的行数、单词数或字节数 / 131
3.15iconv：转换文件的编码格式 / 133
3.16dos2unix：将DOS格式文件转换成UNIX格式 / 134
3.17diff：比较两个文件的不同 / 135
3.18vimdiff：可视化比较工具 / 138
3.19rev：反向输出文件内容 / 139
3.20tr：替换或删除字符 / 140
3.21od：按不同进制显示文件 / 143
3.22tee：多重定向 / 145
3.23vi/vim：纯文本编辑器 / 147
3.24老男孩逆袭思想：做Linux运维的多个好处 / 152
第4章 文本处理三剑客 / 153
4.1grep：文本过滤工具 / 153
4.2sed：字符流编辑器 / 159
4.3awk基础入门 / 165
第5章 Linux信息显示与搜索文件命令 / 176
5.1uname：显示系统信息 / 176
5.2hostname：显示或设置系统的主机名 / 178
5.3dmesg：系统启动异常诊断 / 179
5.4stat：显示文件或文件系统状态 / 181
5.5：统计磁盘空间使用情况 / 183
5.6date：显示与设置系统时间 / 186
5.7echo：显示一行文本 / 190
5.8watch：监视命令执行情况 / 193
5.9which：显示命令的全路径 / 195
5.10whereis：显示命令及其相关文件全路径 / 196
5.11locate：快速定位文件路径 / 197
5.12updatedb：更新mlocate数据库 / 199
5.13老男孩逆袭思想：新手在工作中如何问问题不会被鄙视 / 200
第6章 文件备份与压缩命令 / 201
6.1tar：打包备份 / 201
6.2gzip：压缩或解压文件 / 208
6.3zip：打包和压缩文件 / 211
6.4unzip：解压zip文件 / 212
6.5scp：远程文件复制 / 214
6.6rsync：文件同步工具 / 216
6.7老男孩逆袭思想：新手如何高效地提问 / 220
第7章 Linux用户管理及用户信息查询命令 / 222
7.1 useradd：创建用户 / 222
7.2usermod：修改用户信息 / 227
7.3userdel：删除用户 / 229
7.4groupadd：创建新的用户组 / 230
7.5groupdel：删除用户组 / 231
7.6passwd：修改用户密码 / 232
7.7chage:修改用户密码有效期 / 237
7.8chpasswd：批量更新用户密码 / 238
7.9su：切换用户 / 240
7.10visudo：编辑sudoers文件 / 242
7.11sudo：以另一个用户身份执行命令 / 244
7.12id：显示用户与用户组的信息 / 248
7.13w：显示已登录用户信息 / 249
7.14who：显示已登录用户信息 / 250
7.15users：显示已登录用户 / 252
7.16whoami：显示当前登录的用户名 / 253
7.17last：显示用户登录列表 / 253
7.18lastb：显示用户登录失败的记录 / 254
7.19lastlog：显示所有用户的最近登录记录 / 255
第8章 Linux磁盘与文件系统管理命令 / 257
8.1fdisk：磁盘分区工具 / 257
8.2partprobe：更新内核的硬盘分区表信息 / 265
8.3tune2fs：调整ext2/ext3/ext4文件系统参数 / 266
8.4parted：磁盘分区工具 / 268
8.5mkfs：创建Linux文件系统 / 272
8.6mpe2fs：导出ext2/ext3/ext4文件系统信息 / 274
8.7resize2fs：调整ext2/ext3/ext4文件系统大小 / 275
8.8fsck：检查并修复Linux文件系统 / 278
8.9dd：转换或复制文件 / 281
8.10mount：挂载文件系统 / 284
8.11umount：卸载文件系统 / 288
8.12df：报告文件系统磁盘空间的使用情况 / 289
8.13mkswap：创建交换分区 / 293
8.14swapon：激活交换分区 / 294
8.15swapoff：关闭交换分区 / 295
8.16sync：刷新文件系统缓冲区 / 296
第9章 Linux进程管理命令 / 298
9.1ps：查看进程 / 298
9.2pstree：显示进程状态树 / 305
9.3pgrep：查找匹配条件的进程 / 306
9.4kill：终止进程 / 307
9.5killall：通过进程名终止进程 / 310
9.6pkill：通过进程名终止进程 / 311
9.7top：实时显示系统中各个进程的资源占用状况 / 313
9.8nice：调整程序运行时的优先级 / 320
9.9renice：调整运行中的进程的优先级 / 323
9.10nohup：用户退出系统进程继续工作 / 324
9.11strace：跟踪进程的系统调用 / 325
9.12ltrace：跟踪进程调用库函数 / 332
9.13runlevel：输出当前运行级别 / 334
9.14init：初始化Linux进程 / 335
9.15service：管理系统服务 / 335
第10章 Linux网络管理命令 / 338
10.1ifconfig：配置或显示网络接口信息 / 338
10.2ifup：激活网络接口 / 343
ifup eth0
10.3ifdown：禁用网络接口 / 343
ifdown eth0
service network restart（/etc/init.d/network restart） 激活整个网络，所有网卡。
10.4route：显示或管理路由表 / 344
10.5arp：管理系统的arp缓存 / 350
10.6ip：网络配置工具 / 351
10.7netstat：查看网络状态 / 358
10.8ss：查看网络状态 / 362
10.9ping：测试主机之间网络的连通性 / 363
10.10traceroute：追踪数据传输路由状况 / 366
10.11arping：发送arp请求 / 367
10.12telnet：远程登录主机 / 369
10.13nc：多功能网络工具 / 370
10.14ssh：安全地远程登录主机 / 373
10.15wget：命令行下载工具 / 376
10.16mailq：显示邮件传输队列 / 379
10.17mail：发送和接收邮件 / 381
10.18nslookup：域名查询工具 / 386
10.19dig：域名查询工具 / 389
10.20host：域名查询工具 / 393
10.21nmap：网络探测工具和安全/端口扫描器 / 394
10.22tcpmp：监听网络流量 / 398
第11章 Linux系统管理命令 / 407
11.1lsof：查看进程打开的文件 / 407
11.2uptime：显示系统的运行时间及负载 / 411
11.3free：查看系统内存信息 / 411
11.4iftop：动态显示网络接口流量信息 / 413
11.5vmstat：虚拟内存统计 / 415
11.6mpstat：CPU信息统计 / 419
11.7iostat：I/O信息统计 / 420
11.8iotop：动态显示磁盘I/O统计信息 / 423
11.9sar：收集系统信息 / 425
11.10chkconfig：管理开机服务 / 430
11.11ntsysv：管理开机服务 / 433
11.12 setup：系统管理工具 / 434
11.13ethtool：查询网卡参数 / 436
11.14mii-tool：管理网络接口的状态 / 437
11.19rpm：RPM包管理器 / 443
11.20yum：自动化RPM包管理工具 / 446
top命令
第12章 Linux系统常用内置命令 / 450
12.1Linux内置命令概述 / 450
12.2Linux内置命令简介 / 450
12.3Linux常用内置命令实例 / 452
‘拾’ Linux系统中tracert命令使用详解
Linux系统中Tracert命令用来显示数据包到达目标主机是所经过的路径。下面由我为大家整理了linux系统中tracert命令使用详解，希望对大家有帮助!
Linux系统中tracert命令使用详解
Tracert命令用来显示数据包到达目标主机所经过的路径，并显示到达每个节点的时间。命令功能同Ping类似，但它所获得的信息要比Ping命令详细得多，它把数据包所走的全部路径、节点的IP以及花费的时间都显示出来。该命令比较适用于大型网络。
命令格式：
tracert IP地址或主机名 [-d][-h maximumhops][-j host_list] [-w timeout]
参数含义：
-d 不解析目标主机的名字;
-h maximum_hops 指定搜索到目标地址的最大跳跃数;
-j host_list 按照主机列表中的地址释放源路由;
-w timeout 指定超时时间间隔，程序默认的时间单位是毫秒。
linux系统中tracert命令用法
tracert [-d] [-h maximum_hops] [-j computer-list] [-w timeout] target_name
如果不使用参数，将显示连接情况，如图2-23所示。
补充：linux系统中tracert命令原理
tracert命令也称作路由跟踪命令，用于确定IP数据库包访问目标所采取的路径，通过IP生成时间(TTL)字段和ICMP错误信息来确定，从个网络到主机之间的网络状况。
tracert命令原理与ping命令为相似，都是通过向目标发送数据包，并通过数据包响应及丢失情况，从而判断本地与目标主机之间的网络状况，所不同的是tracert命令能够反映出网络中各个路由节点信息，以及网络状况，并且可以用以跟踪路由节点，以及监控服务器状况等作用。