Linux——(渗透理解)文件系统与日志分析

一、Linux系统中的 inode 与 block

崭新的操作系统的文件数据除了实际内容外，通常含有非常多的属性，例如Linux操作系统的文件权限（rwx）与文件属性（所有者、群组和时间参数等）。文件系统通常会将这两个部分分别存放在inode和block中，那么inode和block之间有什么区别呢?

文件数据包括元信息和实际信息

1.1 inode 和 block

扇区（sector）
文件是存储在硬盘上的，硬盘的最小存储单位叫做“扇区”（sector），每个扇区存储512字节。


块（block）
操作系统读取文件时，不会一个个扇区读取，效率太低，而是一次性读取多个扇区：

• 块（block）由多个扇区组成，是文件存取的最小单位。
• 块（block）最常见的为4KB，即：连续8个sector组成一个block。
  
  

索引节点（inode）
文件数据存储在“块”中，则文件的元信息（创建者、创建日期文件大小等）的区域就叫做inode，中文名“ 索引节点 ”，也称 “ i节点 ”。因此，我们可以说一个文件占用一个或多个block,但inode肯定只是一个：

• inode不包含文件名。文件名是存放在目录当中的。Linux 系统中一切皆文件，因此目录也是一种文件；
• 每个inode都有一个号码。操作系统用inode号码来识别不同的文件。Linux内部不使用文件名，而使用inode号来识别文件；
• 文件名只是inode号便于识别的别称。文件名和inode号是一一对应的关系，每个inode号都对应一个文件名。

文件数据

• 文件数据包括实际数据与元信息（类似文件属性）；
• 文件数据存储在“块”中，文件元信息存储在inode中。

系统访问文件过程
当用户在Linux系统中试图访问一个文件时，系统会先根据文件名去查找它对应的inode号码；通过inode号码，获取inode信息；根据inode信息，看该用户是否具有访问这个文件的权限；如果有，就指向相对应的数据block，并读取数据:

1.2 查找文件对应的inode（内容）

 第一种方式：  ls -i 文件名
 第二种方式：  stat  文件名    ##根据inode信息找到文件数据所在的block

inode包含很多的文件元信息，但不包含文件名，例如：

• 文件的字节数
• 文件的拥有者UserID
• 文件的GroupID
• 文件的读、写、执行权限
• 文件的时间戳
  
  ------------------- Linux系统文件三个主要的时间属性--------------------
  ctime(change time)：最后一次改变文件或目录(属性)的时间
  atime(access time)：最后一次访问文件或目录的时间
  mtime(modify time)：最后一次修改文件或目录(内容)的时间

1.3 inode的大小

• inode也会消耗硬盘空间：每个inode的大小一般是128字节或者256字节
• 格式化文件系统时确定inode的总数
• 使用df -i命令可以查看每个硬盘分区的inode总数和已经使用的数量
  （df -h查挂载）
  

inode总结

由于inode号码与文件名分离，导致Linux系统具备以下几种特有的现象：

• 文件名包含特殊字符，可能无法正常删除。这时直接删除inode，能够起到删除文件的作用

[root@Kiro opt]# find ./ -inum 67154696 -exec rm -i {} \;
[root@Kiro opt]# find ./ -inum 67154696 -delete

- 移动文件或重命名文件，只是改变文件名，不影响inode号码

• 打开一个文件以后，系统就以inode号码来识别这个文件，不再考虑文件名
• 文件数据被修改保存后，公生成一个新的inode号码
  

二、 硬链接和软链接

格式：

硬链接
ln  源文件  目标位置

软链接
ln [-s]  源文件或者目录...   链接文件或者目标位置 

对比

操作和范围	软链接	硬链接
删除原始文件后	失效	仍然可用
使用范围	适用于文件或目录	只可用于文件
保存位置	与原始文件可以位于不同的文件系统中	必须与原始文件在同一个文件系统（如一个Linux分区）内

三、日志分析

日志保存位置默认位于：/var/log目录下

日志的一般格式

3.1 日志的功能

• 用于记录系统、程序运行中发生的各种事件
• 通过阅读日志，有助于诊断和解决系统故障

3.2 日志文件的分类

内核及系统日志	由系统服务rsyslog统一进行管理，日志格式基本相似；主配置文件/etc/rsyslog.conf
用户日志	记录系统用户登录及退出系统的相关信息
程序日志	由各种应用程序独立管理的日志文件，记录格式不统一

3.2.1 内核及公共消息日志

/var/log/messages:
记录Linux内核消息及各种应用程序的公共日志信息，包括启动、I0错误、网络错误、程序故障等。
对于未使用独立日志文件的应用程序或服务，一般都可以从该日志文件中获得相关的事件记录信息。

3.2.2 计划任务日志

/var/log/ cron:
记录crond计划任务产生的事件信息

3.2.3 系统引导日志

/var/ log/ dmesg:
记录Linux系统在引导过程中的各种事件信息

3.2.4 邮件系统日志

/var/log/maillog:记录进入或发出系统的电子邮件活动

3.2.5 用户登录日志

• /var/log/lastlog: 记录每个用户最近的登录事件，二进制格式
• /var/log/secure: 记录用户认证相关的安全事件信息
• /var/log/wtmp: 记录每个用户登录、注销及系统启动和停机事件，二进制格式
• /var/ run/btmp: 记录失败的、错误的登录尝试及验证事件，二进制格式

3.3 日志文件的分析

3.3.1 日志配置文件和日志消息等级

Linux系统内核日志消息的优先级别(数字等级越小，优先级越高，消息越重要

vim /etc/rsyslog.conf					#查看rsyslog.conf配置文件

* . info;mail.none;authpriv.none;cron.none	/var/log/messages

*.info			#表示info等级及以上的所有等级的信息都写到对应的日志文件里
mail.none		#表示某事件的信息不写到日志文件里(这里比如是邮件)

Linux系统内核日志消息的优先级别(数字等级越小，优先级越高，消息越重要)

级别	信息	优先级别	描述信息
0	EMERG	紧急	会导致主机系统不可用的情况
1	ALERT	警告	必须马上采取措施解决的问题
2	CRIT	严重	比较严重的情况
3	ERR	错误	运行出现错误
4	WARNING	提醒	可能影响系统功能，需要提醒用户的重要事件
5	NOTICE	注意	下会影响正常功能，但是需要注意的事件
6	INFO	信息	一般信息
7	DEBUG	调试	程序或系统调试信息等

3.3.2 用户日志分析（二进制类）

在wtmp、btmp、 lastlog等日志文件中 ,保存了系统用户登录、 退出等相关的事件消息。 但是这些文件都是二进制的数据文件，不能直接使用tail、less等文本查看工具进行浏览,需要使用who、w、users、 last、lastlog和lastb等用户查询命令来获取日志信息
查询当前登录的用户情况—users、who、w

查询用户登录的历史记录—last、lastb和lastlog

3.3.3 程序日志分析

程序日志由相应的应用程序独立进行管理

Web服务：/var/log/httpd/

• access_log ——记录客户访问事件
• error_log ——记录错误事件

 tail -f /var/log/httpd/access_log

**代理服务：/var/log/squid/** access.log、cache.log

分析工具

• 文本查看、grep过来检索、Webmin管理套件中查看

• awk、sed等文本过滤、格式化编辑工具

• Webalizer、Awstats等专用日志分析工具

FTP服务
/var/log/xferlog

3.3.4 日志的管理

及时做好备份和归档

延长日志保存期限：

• 日志中可能会包含各类敏感信息，如账户和口令等

集中管理日志：

• 将服务器的日志文件发到统一-的日志文件服务器
• 便于日志信息的统- -收集、 整理和分析
• 杜绝日志信息的意外丢失、恶意篡改或删除

四、恢复误删除的软件

4.1 恢复误删除的XFS文件

Centos 7系统默认采用xfs类型的文件，xfs类型的文件可使用xfsdump 与xfsrestore 工具进行备份恢复
xfsdump的备份级别有两种:

• 0表示完全备份
• 1-9表示增量备份
• xfsdump的备份级别默认为0
  
  

xfsdump常用选项

常用选项	功能
-f	指定备份文件目录
-L	指定标签session label
-M	指定设备标签media label
-S	备份单个文件，-s后面不能直接跟路径

xfsdump使用限制

• 只能备份已挂载的文件系统
• 必须使用root的权限才能操作
• 只能备份XFS文件系统
• 备份后的数据只能让xfsrestore解析
• 不能备份两个具有相同UUID的文件系统(可用blkid命令查看)

1. rpm -qa | grep "xfsdump"      ##查看系统是否安装xfsdump

2. fdisk /dev/sde        ##创建一个磁盘并去分区
mkfs.xfs /dev/sde      ##进行格式化
mount /dev/sde1 /date 
df -Th       ##挂载并查看      （记得在挂载目录创建文件，后边恢复数据做演示）

3. xfsdump -f /opt/sde1.bak /dev/sde1    ##指定备份目录 和需要备份的目录
可以自己决定要不要交互，如果不交互完整命令就是（xfsdump -f /opt/sde1.bak /dev/sde1 -L dump_sde -M sde1）

4. rm -rf /date/*       ##删除此目录下所有文件
xfsrestore -f /opt/sde1.bak /date             ##恢复备份

实例演示：
1.添加一块新的硬盘（参考此篇博客），创建新的分区，格式化并挂载

2.然后挂载/dev/sde1

3.yum安装xfsdump，确认好备份路径，将指定磁盘备份。

4.删除文件，模拟回复测试

4.2 恢复误删除的软件EXT文件

------------安装依赖包------------
e2fsprogs-libs-1.41.12- 18. el6.x86_ 64.rpm
e2fsprogs-devel-1 41.12-18.el6.x86_ 64.rpm

-----------配置、编译及安装----------
安装依赖包：
extundelete-0.2.4.tar.bz2

1.安装依赖包
e2fsprogs-libs-1.41.12- 18. el6.x86_ 64.rpm
e2fsprogs-devel-1 41.12-18.el6.x86_ 64.rpm

2.下载安装包并解压安装包
rz
tar jxvf extundelete-0.2.4.tar.bz2

3.编译安装（进入安装包目录）
[root@Kiro extundelete-0.2.4]# ./configure
[root@Kiro extundelete-0.2.4]# make  & make install

4.测试前准备，创建磁盘并格式化为ext3，挂载
mkfs.ext3 /dev/sdf       ##格式化
echo 123>1.txt
echo 321>2.txt          ##挂载目录里加文件

5.模仿数据删除并恢复
[root@Kiro date]# rm -rf 1 2
[root@Kiro /]# umount /date    ##解挂载
[root@Kiro /]# extundelete /dev/sdf1 --restore-all

6.查看恢复后的数据
[root@Kiro /]# ls RECOVERED_FILES    ##挂载目录已经删除，也未能指定恢复路径，只能在这个文件下查看恢复数据

步骤：

1. 安装e2fsprogs-libs 和e2fsprogs-devel 两个依赖包
   

2.下载安装包并解压安装包
可用“rz”命令下载，也可以直接拖进终端页面

3. 编译安装
   

4.测试前准备一下
创建磁盘并格式化为ext3

5.模仿删除数据并且恢复

• 具体的使用情况。其中–inode 2代表从i节点为2的文件开始查看，一般文件系统格式化挂载之后，i节点是从2开始的，2代表该文件系统最开始的目录
• 在恢复前需要先解挂载
  
  
  

【总结】

日志	意义
/var/log/messages:	记录Linux内核消息及各种应用程序的公共日志信息，包括启动、IO错误、网络错误、程序故障等。
/var/ log/ dmesg:	记录Linux系统在引导过程中的各种事件信息
/var/log/maillog:	记录进入或发出系统的电子邮件活动
/var/log/lastlog:	记录每个用户最近的登录事件，二进制格式
/var/log/secure:	记录用户认证相关的安全事件信息
/var/log/wtmp:	记录每个用户登录、注销及系统启动和停机事件，二进制格式
/var/ run/btmp:	记录失败的、错误的登录尝试及验证事件，二进制格式

• rz命令 —— 下载文件 ；
  lz命令 —— 上传文件
• tail -f 日志 ## 跟踪日志文件
• 查询inode方法

state 文件名
ls -i 文件名
df -i 查看每个磁盘的inoede值 （df -h查挂载）