如何使用SecureCRT进行Linux日志分析 - 问答

使用 SecureCRT 进行 Linux 日志分析

一连接与会话准备

建立连接：在 SecureCRT 中新建会话，填写目标服务器的 IP、端口、用户名 与密码，协议选择 SSH 并保存。为便于回溯，建议开启会话日志。
开启自动会话日志：进入 Options → Global Options → Session Options → Default Session → Logon Actions，勾选 Start logon 并设置 Log file 路径与命名规则，例如 %h-%d-%H-%s.log（含义：%h 主机名、%d 日期、%H 小时、%s 会话名）。需要时可在 View → View Log 打开会话日志查看器进行检索。
提升回溯能力：在 Options → Global Options → Terminal → Emulation 增加 Scroll back（回滚缓冲区）行数，例如 50000 行，便于在窗口内查看更长的历史输出。
多机协同：利用 标签页 管理多个会话，或使用 按钮栏 快速执行常用命令，提高对比排查效率。

二 Linux 端常用日志与定位路径

系统日志：
- /var/log/syslog（Debian/Ubuntu 等）
- /var/log/messages（CentOS/RHEL 等）
认证与安全：
- /var/log/auth.log（Debian/Ubuntu）或 /var/log/secure（CentOS/RHEL）
- /var/log/fail2ban.log（Fail2Ban 记录）
Web 服务：
- /var/log/nginx/ 或 /var/log/httpd/（access.log、error.log）
数据库：
- /var/log/mysql/error.log
审计：
- /var/log/audit/audit.log
systemd 系统日志：使用 journalctl 查询（如按时间、按启动、按服务过滤）。

三高效分析命令与用法

实时跟踪：
- 查看系统日志尾部并持续输出：tail -f /var/log/syslog
- 仅看最近 N 行：tail -n 200 /var/log/syslog | less
关键字过滤与上下文：
- 在最后 N 行中筛选关键词：tail -n 1000 /var/log/auth.log | grep "Failed password"
- 显示匹配行的上下文：grep -C 10 "error" app.log（前后各 10 行）
时间与范围查询（journalctl）：
- 指定时间窗口：journalctl --since "2025-12-16 09:00:00" --until "2025-12-16 10:00:00"
- 当前启动日志：journalctl -b；更详细输出：journalctl -xe
统计与去重：
- 统计失败登录的 IP 与次数：awk '/Failed password/ {print $11}' /var/log/auth.log | sort | uniq -c | sort -nr
分页与检索：
- 大文件浏览：less /var/log/syslog；在 less 中按 / 搜索，按 n/N 跳转。

四实战案例

SSH 暴力破解排查
1. 实时观察失败登录：tail -f /var/log/auth.log | grep "Failed password"
2. 统计 Top 来源 IP：awk '/Failed password/ {print $11}' /var/log/auth.log | sort | uniq -c | sort -nr | head
3. 结合时间窗口：journalctl --since "2025-12-16 00:00:00" | grep "Failed password"
4. 处置建议：确认攻击后，使用 fail2ban 封禁，并检查 /var/log/fail2ban.log。
Web 500 错误定位
1. 实时跟踪错误日志：tail -f /var/log/nginx/error.log
2. 关联访问日志定位来源：tail -f /var/log/nginx/access.log | grep "500"
3. 若需更长时间回溯，先拷贝旧日志到临时目录再分析，避免直接在大文件上反复 grep。

五效率与安全建议

0 赞

0 踩