Linux下恢复被误删除的 /var/log/messages(验证可行)

Linux下恢复被误删除的 /var/log/messages

软件开发日常工作中，出于方便定位问题的需要，我们常常会去清空日志文件。但是，Linux新手容易犯的一个错误是把日志文件给直接删除，而不是删除日志文件的内容。直接删除日志文件往往导致新产生的日志记录无法被写入到日志文件中（因为它已经被删除了），而仅仅重新新建（touch）同样名 字的文件是解决不了问题的。下面以Debian系统为例，说明如何恢复被误删除的/var/log/messages。

首先，在以root用户执行如下lsof命令，查询打开/var/log/messages文件的进程的进程ID(PID)。

Code example:

1 2	>: lsof | grep /var/log/messages rsyslogd 544 syslog 5w REG 8,6 214641 134422 /var/log/messages

从上面命令输出可以看到，这个打开/var/log/messages文件的进程的PID是544，文件/var/log/messages的文件描述符（FD）号是5。 根据上述的PID和FD，可以在/proc找到对应的文件：

Code example:

1 2 3 4 5 6 7 8 9 10

>: ls -al /proc/544/fd/ lrwx------ 1 root root 64 Apr  7 14:10 0 -> socket:[3621] l-wx------ 1 root root 64 Apr  7 14:10 1 -> /var/log/syslog l-wx------ 1 root root 64 Apr  7 14:10 2 -> /var/log/kern .log lrwx------ 1 root root 64 Apr  7 14:10 3 -> /dev/xconsole lr-x------ 1 root root 64 Apr  7 14:10 4 -> /proc/kmsg l-wx------ 1 root root 64 Apr  7 14:10 5 -> /var/log/messages l-wx------ 1 root root 64 Apr  7 14:10 6 -> /var/log/debug l-wx------ 1 root root 64 Apr  7 14:10 7 -> /var/log/daemon .log l-wx------ 1 root root 64 Apr  7 14:10 8 -> /var/log/auth .log

将文件/proc/544/fd/5拷贝到/var/log/messages

Code example:

1	>: cp /proc/544/fd/5 /var/log/messages

然后重新启动syslog服务即可恢复被误删除的日志文件，并且新的日志记录能够继续被写入日志文件。

以root用户运行service命令。其中，service命令的第2个参数可能是syslog、也可能是rsyslog。具体可以使用通过命令查询得知。

Code example:

1 2 3 4 5 6 7 8

>: service --status-all [ ? ] ... [ ? ] rc. local [ ? ] rsyslog [ ? ] screen -cleanup [ ? ] ... >: service rsyslog restart rsyslog start /running , process 2673

真正用来清空日志文件的命令应该是：

Code example:

1	>: cat /dev/null > /var/log/messages

标签： Linux故障
Category:  Linux  |   Comment ( RSS)  |   Trackback