检测到POSIX系统上的日志文件已被删除或截断？

发布时间：2020-12-15 21:36:36 所属栏目：安全来源：网络整理

导读：假设一个长时间运行的进程写入日志文件.假设日志文件无限期保持打开状态.假设粗心的系统管理员删除该日志文件.程序可以检测到这种情况发生了吗？是否可以安全地假设fstat()将为已删除的文件报告链接计数为零？在我看来,截断有点棘手.在某种程度上,它取决于

假设一个长时间运行的进程写入日志文件.假设日志文件无限期保持打开状态.假设粗心的系统管理员删除该日志文件.程序可以检测到这种情况发生了吗？

是否可以安全地假设fstat()将为已删除的文件报告链接计数为零？

在我看来,截断有点棘手.在某种程度上,它取决于文件描述符是否在O_APPEND模式下运行.如果日志文件没有与O_APPEND一起运行,那么程序日志描述符的当前写入位置不会改变,截断将删除前导字节,但程序继续写入“结束”,留下幻像的空白零字节(它们读为零,但不一定占用磁盘空间).

如果程序使用O_APPEND运行,那么它将在文件末尾写入,因为它当前存在.观察截断的唯一方法是注意文件位置不是程序所期望的位置 – 这反过来意味着明确地跟踪该位置.

总的来说,我并不担心截断是删除,但任何想法都会受到欢迎.

如果文件被硬链接或重命名,则检查fstat()返回链接计数为零将失败.我可能会定期将stat()的inode数与fstat()进行比较.

我不确定截断.

tail -F检查删除和截断,所以我检查它的来源,看看它是如何实现它的.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!