求助：log日志字段提取，脚本

Shell_HAT

回复 10# doking2008


啥子问题？

xiaopan3322

看得我头疼

wqfhenanxc

回复 10# doking2008


    会不会是分隔符的问题？
    我用的域分隔符是两个或两个以上的空格，
    你的原log文件中的分隔符是什么呢？
   你可以用vi看一下16进制码

doking2008

红色是多余的。
Aug 30 17:18:47 1.1.1.1 adc.com.cn MSWinEventLog  2       Application     3828    Mon Aug 30 17:18:47 2010        2284    W3SVC-WP        Unknown User    N/
A       Warning  adc.com.cn  None    0000: 50 00 07 80 00 00 00 00   .......         FailedRequestTracing module failed to write buffered events to log file fo
r the request that matched failure definition. No logs will be generated until this condition is corrected. The problem happened at least 18 times in the last 5 minutes. The data
is the error.          3779  

awk -F"  +"   '{gsub(/1\.1\.1\.1 /,"",$1);gsub(/MS.*Log/,"",$1);print $1" "$6" "$10}' 11.txt

Aug 30 17:18:47 adc.com.cn     2       Application     3828    Mon Aug 30 17:18:47 2010        2284    W3SVC-WP        Unknown User    N/A     Warning adc.com.cn       None    0000: 50 00 07 80 00 00 00 00

doking2008

是不是因为有些看起来想空格，其实是tab

ywlscpl

日志描述这段没什么规律，只能取waring(err)后面第4个字段起，凑合着用

1. awk -F ' +User +(N/A)* +' '{split($1,m," +");num=split($2,n," +");sub(n[1]" +"n[2]" +"n[3]" +","",$2);print m[1]" "m[2]","m[3]","m[5]","m[15]","n[1]","$2}' file

复制代码

wqfhenanxc

回复 14# doking2008


    算了，你这格式乱七八糟的。不如把log文件发上来让大家看看吧。。

doking2008

我已经把log日志原始文件上传，请大家帮忙看看。

ywlscpl

回复 1# doking2008


文件中有tab
另外，主楼中贴的数据最后一个字段不一定是一串数字，上传的文件中倒是每行最后都是一串数字

1. awk -F '[ \t]+User[ \t]+(N/A)*[ \t]+' '{split($1,m,"[ \t]+");num=split($2,n,"[ \t]+");sub(n[1]"[ \t]+"n[2]"[ \t]+"n[3]"[ \t]+","",$2);print m[1]" "m[2]","m[3]","m[5]","m[15]","n[1]","$2}' file

复制代码

doking2008

好神奇啊，真的可以哎，哈哈，谢了。