软件开发日常工作中,出于方便定位问题的需要,我们常常会去清空日志文件。但是,Linux新手容易犯的一个错误是把日志文件给直接删除,而不是删除日志文件的内容。直接删除日志文件往往导致新产生的日志记录无法被写入到日志文件中(因为它已经被删除了),而仅仅重新新建(touch)同样名 字的文件是解决不了问题的。下面以Debian系统为例,说明如何恢复被误删除的/var/log/messages。
首先,在以root用户执行如下lsof命令,查询打开/var/log/messages文件的进程的进程ID(PID)。
1
2
|
>:
lsof
|
grep
/var/log/messages
rsyslogd 544 syslog 5w REG 8,6 214641 134422
/var/log/messages
|
从上面命令输出可以看到,这个打开/var/log/messages文件的进程的PID是544,文件/var/log/messages的文件描述符(FD)号是5。 根据上述的PID和FD,可以在/proc找到对应的文件:
1
2
3
4
5
6
7
8
9
10
|
>:
ls
-al
/proc/544/fd/
lrwx------ 1 root root 64 Apr 7 14:10 0 -> socket:[3621]
l-wx------ 1 root root 64 Apr 7 14:10 1 ->
/var/log/syslog
l-wx------ 1 root root 64 Apr 7 14:10 2 ->
/var/log/kern
.log
lrwx------ 1 root root 64 Apr 7 14:10 3 ->
/dev/xconsole
lr-x------ 1 root root 64 Apr 7 14:10 4 ->
/proc/kmsg
l-wx------ 1 root root 64 Apr 7 14:10 5 ->
/var/log/messages
l-wx------ 1 root root 64 Apr 7 14:10 6 ->
/var/log/debug
l-wx------ 1 root root 64 Apr 7 14:10 7 ->
/var/log/daemon
.log
l-wx------ 1 root root 64 Apr 7 14:10 8 ->
/var/log/auth
.log
|
将文件/proc/544/fd/5拷贝到/var/log/messages
1
|
>:
cp
/proc/544/fd/5
/var/log/messages
|
然后重新启动syslog服务即可恢复被误删除的日志文件,并且新的日志记录能够继续被写入日志文件。
以root用户运行service命令。其中,service命令的第2个参数可能是syslog、也可能是rsyslog。具体可以使用通过命令查询得知。
1
2
3
4
5
6
7
8
|
>: service --status-all
[ ? ] ...
[ ? ] rc.
local
[ ? ] rsyslog
[ ? ]
screen
-cleanup
[ ? ] ...
>: service rsyslog restart
rsyslog start
/running
, process 2673
|
真正用来清空日志文件的命令应该是:
1
|
>:
cat
/dev/null
>
/var/log/messages
|
所有评论(0)