学习目标

学会使用命令来管理进程；
学会查看登录用户；
学会查看日志文件信息；

业务场景

当系统卡慢、CPU高时，需要分析系统资源使用情况，找到导致CPU高的进程号
需要查看用户登录信息时
系统发生错误时，需要获取日志文件进行分析

学习内容

（一）学会使用命令来管理进程

1.ps命令

ps 命令用于查看系统中的进程状态，格式为“ps [参数]”。

通常将ps 命令与管道符技术搭配使用，用来抓取与某个指定服务进程相对应的PID 号码。ps 命令的常见参数以及作用如下图所示：

在Linux 系统中，有5 种常见的进程状态，分别为运行、中断、不可中断、僵死与停止，其各自含义如下所示。

R（Running）：进程正在运行或在运行队列中等待。
S（Sleep）：进程处于休眠中，当某个条件形成后或者接收到信号时，则脱离该状态。
D（不可中断）：进程不响应系统异步信号，即便用kill 命令也不能将其中断。
Z（Zombie）：僵死状态，进程已经终止，但进程描述符依然存在, 直到父进程调用wait4()系统函数后将进程释放。
T（Stop）：停止状态，进程收到停止信号后停止运行。

当执行 ps aux 命令后通常会看到如下图所示的进程状态，图中只是列举了部分输出值，而且正常的输出值中不包括中文注释。ps 命令可允许参数不加减号（-），因此可直接写成ps aux 的样子。

一般来说，ps aux 会依照 PID 的顺序来排序显示，以 PID为 14836那行来说明：该行的意义为“ root 执行的 bash PID 为 14836，占用了 0.1% 的内存容量百分比，状态为休眠（S），该程序启动的时间为 8 月 4 号，因此启动太久了，所以没有列出实际的时间点。且取得的终端机环境为 pts/0 。”

示例：找出与 cron 与 rsyslog 这两个服务有关的 PID 号码

所以PID号码就是475。

2.pidof命令

pidof 命令用于查询某个指定服务进程的PID 值，格式为“pidof [参数] [服务名称]”。

每个进程的进程号码值（PID）是唯一的，因此可以通过PID 来区分不同的进程。例如，可以使用如下命令来查询本机上sshd 服务程序的PID：

（二）学会查看登录用户

1.who命令

who 用于查看当前登入主机的用户终端信息，格式为“who [参数]”。

这三个简单的字母可以快速显示出所有正在登录本机的用户的名称以及他们正在开启的终端信息。下图为执行who 命令后的结果。

2.last命令

last 命令用于查看所有系统的登录记录，格式为“last [参数]”。

使用 last 命令可以查看本机的登录记录。但是，由于这些信息都是以日志文件的形式保存在系统中，因此黑客可以很容易地对内容进行篡改。千万不要单纯以该命令的输出信息而判断系统有无被恶意入侵！

………………省略部分登录信息………………

（三）学会查看日志文件信息

在 Linux 中，系统日志文件只有 root 用户可以读取。/var/log/ 目录就是系统日志文件的保存位置。下表列出了一些重要的日志系统文件。

日志文件	说明
/var/log/messages	这个文件相当的重要，几乎系统发生的错误讯息（或者是重要的信息）都会记录在这个文件中；如果系统发生莫名的错误时，这个文件是一定要查阅的登录文件之一。
/var/log/dmesg	记录系统在开机的时候核心侦测过程所产生的各项信息。由于 CentOS 默认将开机时核心的硬件侦测过程取消显示，因此额外将数据记录一份在这个文件中。
/var/log/btmp	记录错误登陆的日志。这个文件是二进制文件，不能直接用Vi查看，而要使用lastb命令查看。命令如下： [root@localhost log]#lastb root tty1 Tue Jun 4 22:38 - 22:38 (00:00) #有人在6月4 日 22:38便用root用户在本地终端 1 登陆错误
/var/log/wtmp	永久记录所有用户的登陆、注销信息，同时记录系统的启动、重启、关机事件。同样，这个文件也是二进制文件，不能直接用Vi查看，而要使用last命令查看。

（四）总结

通过学习以上内容，我们应该掌握使用命令来管理进程、查看登录用户和日志文件信息。

Linux进程管理及日常命令

恭喜您！