如何从vsftpd.log文件中查找所需的数据

suchasplus

最近老是有人在内部公用FTP中上传违禁内容,FTP是RHEL3U1的系统,运行vsftpd1.X
所有的记录都在vsftpd.log中
so    我想查找上传违禁内容者的IP
但是vsftpd.log的大小有150MB+
违禁内容的文件名都是中文名
在vsftpd.log中显示为问号

1. Tue Nov  8 22:36:36 2005 2 10.64.40.162 832702 /pub/movie/????/????_59????????????????????????/????_59????????????????????????_B.rmvb b _ o a <no_password> ftp 0 * c

复制代码

尝试cat vsftpd.log | grep "0 * i" | grep " Fri Nov 4"
结果管道什么都没有输出
可是明明看到有的....

想用WebAlizer分析的,结果发现防火墙上80端口没有开
现在就是ssh到主机上,希望可以在命令行下得到想要的数据...

wolfg

显然是grep的条件不满足。
你给的日志条目最后是0 * c，而grep找的是0 * i，能解释一下什么意思吗？

还有，试试sed或awk

suchasplus

sed awk 那不是正则表达式的东东么...好像oreilly专门出了本书写这两个东西
我给的例子最后是表示下载的标记

我要找的是上传的
上传的标记是0 * i
下载的标记是0 * c
实在不想pagedown那个150MB+的log文件......


至于条件
以前的root告诉我这么查的,他说条件符合...
而且我就是查0 * c
管道也无法输出任何东西.....难道是像ls -l默认情况不能在目录下超过10000个子文件的问题一样?

wolfg

第一，你应该考虑回滚你的log文件了
第二，试试 cat vsftpd.log | grep "0 * i" | grep " Fri Nov 4"
*在正则表达式里有特殊含义，需要转义

suchasplus

需要转义也就是说需要加 \ 是么
谢版主的支持

suchasplus

突然想到一个比较好的办法
一般的文件，除了warez发布的文件，文件大小都是很难一致的
只要以文件大小作为关键词在log中搜索就可以了