vsftp日志xferlog格式分析

向右看齐 2022-09-24 05:25 253阅读 0赞

1、开始vsftp记录日志。修改/etc/vsftpd/vsftpd.conf 如下：

xferlog\_enable=YES  
xferlog\_std\_format=YES  
xferlog\_file=/var/log/xferlog

FTP服务器的日志设置，可以通过修改主配置文件/etc/vsftpd.conf实现。主配置文件中与日志设置有关的选项包括xferlog\_enable 、xferlog\_file 和dual\_log\_enable 等。

xferlog\_enable

如果启用该选项，系统将会维护记录服务器上传和下载情况的日志文件。默认情况下，该日志文件为 /var/log/vsftpd.log。但也可以通过配置文件中的 vsftpd\_log\_file 选项来指定其他文件。默认值为NO。

xferlog\_std\_format

如果启用该选项，传输日志文件将以标准 xferlog 的格式书写，该格式的日志文件默认为 /var/log/xferlog，也可以通过 xferlog\_file 选项对其进行设定。默认值为NO。

dual\_log\_enable

如果启用该选项，将生成两个相似的日志文件，默认在 /var/log/xferlog 和 /var/log/vsftpd.log 目录下。前者是 wu-ftpd 类型的传输日志，可以利用标准日志工具对其进行分析；后者是Vsftpd类型的日志。

syslog\_enable

如果启用该选项，则原本应该输出到/var/log/vsftpd.log中的日志，将输出到系统日志中。

常见的日志解决方案如下：

xferlog_enable=YES 
       xferlog_std_format=YES 
       xferlog_file=/var/log/xferlog   
       dual_log_enable=YES 
       vsftpd_log_file=/var/log/vsftpd.log

该方案将xferlog\_enable设置为YES，表明FTP服务器记录上传下载的情况，而将xferlog\_std\_format也设置为YES，则表明将记录的上传下载情况写在xferlog\_file所指定的文件中，即/var/log/xferlog文件。

同时，该方案启用dual\_log\_enable，表明启用了双份日志。在用xferlog文件记录服务器上传下载情况的同时，vsftpd\_log\_file所指定的文件，即/var/log/vsftpd.log，也将用来记录服务器的传输情况。

2、/var/log/xferlog 实例：

Sun Feb 23 21:14:36 2014 4 212.73.193.130 915950 /LilleOL\_IconSport4/win\_230214\_51\_19.jpg b \_ i r sipafranch ftp 0 \* c  
Sun Feb 23 21:14:46 2014 5 212.73.193.130 1018969 /LilleOL\_IconSport4/win\_230214\_51\_18.jpg b \_ i r sipafranch ftp 0 \* c  
Sun Feb 23 22:07:44 2014 1 212.73.193.130 189 /Lille\_IconSP/message\_46263.txt b \_ i r sipafranch ftp 0 \* c  
Sun Feb 23 22:07:49 2014 4 212.73.193.130 891359 /Lille\_IconSP/win\_230214\_84\_80.jpg b \_ i r sipafranch ftp 0 \* c  
Sun Feb 23 22:07:54 2014 4 212.73.193.130 874509 /Lille\_IconSP/win\_230214\_52\_15.jpg b \_ i r sipafranch ftp 0 \* c  
Sun Feb 23 22:07:59 2014 4 212.73.193.130 862666 /Lille\_IconSP/win\_230214\_52\_12.jpg b \_ i r sipafranch ftp 0 \* c  
Sun Feb 23 22:08:04 2014 4 212.73.193.130 726242 /Lille\_IconSP/win\_230214\_52\_13.jpg b \_ i r sipafranch ftp 0 \* c  
Sun Feb 23 22:08:09 2014 4 212.73.193.130 833576 /Lille\_IconSP/win\_230214\_84\_77.jpg b \_ i r sipafranch ftp 0 \* c  
Sun Feb 23 22:08:15 2014 5 212.73.193.130 1009117 /Lille\_IconSP/win\_230214\_84\_78.jpg b \_ i r sipafranch ftp 0 \* c  
Sun Feb 23 22:08:20 2014 4 212.73.193.130 507537 /Lille\_IconSP/win\_230214\_84\_79.jpg b \_ i r sipafranch ftp 0 \* c  
Sun Feb 23 22:08:26 2014 6 212.73.193.130 1023575 /Lille\_IconSP/win\_230214\_52\_11.jpg b \_ i r sipafranch ftp 0 \* c

3、每列含义：

Sun Feb 23 22:08:26 2014 | 6 | 212.73.193.130 | 1023575 | /Lille\_IconSP/win\_230214\_52\_11.jpg | b| \_| i| r| sipafranch| ftp| 0| \*| c

<table style="width:700px; color:rgb(51,51,51); line-height:22px; font-family:tahoma,宋体; font-size:14px; background-color:rgb(239,239,239)"> 
 <tbody> 
  <tr> 
   <td style="">记录</td> 
   <td style="">含义</td> 
  </tr> 
  <tr> 
   <td style="">Sun Feb 23 22:08:26 2014</td> 
   <td style="">FTP传输时间</td> 
  </tr> 
  <tr> 
   <td style="">6</td> 
   <td style="">传输文件所用时间。单位/秒</td> 
  </tr> 
  <tr> 
   <td style="">212.73.193.130</td> 
   <td style="">ftp客户端名称/IP</td> 
  </tr> 
  <tr> 
   <td style="">1023575</td> 
   <td style="">传输文件大小。单位/Byte</td> 
  </tr> 
  <tr> 
   <td style="">/Lille_IconSP/win_230214_52_11.jpg</td> 
   <td style="">传输文件名，包含路径</td> 
  </tr> 
  <tr> 
   <td style="">b</td> 
   <td style="">传输方式： a以ASCII方式传输;&nbsp;<span style="text-align:justify">b以二进制(binary</span><span style="text-align:justify">)方式传输;</span></td> 
  </tr> 
  <tr> 
   <td style="">_</td> 
   <td style="">特殊处理标志位："_"不做任何处理；"C"文件是压缩格式；"U"文件非压缩格式；"T"文件是tar格式；</td> 
  </tr> 
  <tr> 
   <td style="">i</td> 
   <td style="">传输方向："i"上传；"o"下载；</td> 
  </tr> 
  <tr> 
   <td style="">r</td> 
   <td style="">用户访问模式：“a”匿名用户；"g"访客模式；"r"系统中用户;</td> 
  </tr> 
  <tr> 
   <td style="">sipafranch</td> 
   <td style="">登录用户名</td> 
  </tr> 
  <tr> 
   <td style="">ftp</td> 
   <td style="">服务名称，一般都是ftp</td> 
  </tr> 
  <tr> 
   <td style="">0</td> 
   <td style="">认证方式："0"无；"1"RFC931认证；</td> 
  </tr> 
  <tr> 
   <td style="">*</td> 
   <td style="">认证用户id，"*"表示无法获取id</td> 
  </tr> 
  <tr> 
   <td style="">c</td> 
   <td style="">完成状态："i"传输未完成；"c"传输已完成；</td> 
  </tr> 
 </tbody> 
</table>