Linux删除日志解决方法

Linux删除日志解决方法

---

参考地址

问题描述

直接删除日志文件导致新日志记录无法被写入到日志文件中。

恢复被删除的日志文件

1. 切换root用户，查询/var/log/messages文件进程。

   执行命令：

   lsof | grep messages

   查询结果

   rsyslogd 544 syslog 7w REG 8,1 214641 134422 /var/log/messages

2. 根据查询结果，得出/var/log/messages文件的进程的PID是544，/var/log/messages文件描述符（FD）号是7。

   根据PID和FD，在/proc找到对应的文件，执行命令：

   ls -al /proc/544/fd/7

   将文件/proc/544/fd/7拷贝到/var/log/messages，执行命令：

   cp /proc/544/fd/7 /var/log/messages

3. 重新启动rsyslog服务即可恢复被误删除的日志文件。

   执行命令：

   service rsyslog restart

4. 清空日志文件。

   执行命令：

   cat /dev/null>/var/log/messages

清空日志方法

1. 查询/var/log/messages文件的进程

   执行命令：

   lsof | grep messages

   查询结果：

   COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
   rsyslogd 1455 root 4w REG 8,6 1299113404 2686 messages
   abrt-dump 1932 root 4r REG 8,6 1299113404 2686 messages

2. 结束生成message的进程

   执行命令：

   kill -9 1455
   kill -9 1932

3. 清空日志并重启

   执行命令：

   cat /dev/null > /var/log/messages
   reboot

说明

• 测试系统：CentOS 6.5