Unix / Linux 命令查看完成或杀死的进程

Question

有没有办法查看已完成运行或在给定时间前被杀死的处理？

例如，ps -ef将显示所有正在运行的进程，但如果进程完成，则此命令不再返回它。因此，例如，如果我想查看一小时前正在运行的进程（及其命令），是否有任何命令可以执行此操作？或者不再使用的进程日志？

试图调查一个小时前的一个小插曲，并希望获得尽可能多的信息！

干杯

Answer 1

您可以在系统日志中找到该信息 /var/log/syslog并/var/log/messages

根据他们的流程，您可以找到有关他们开始时间等的一些信息。

前任：

Feb  1 12:31:21 centos7 NetworkManager[809]: <info> dhclient started with pid 1319

如果您正在调查某些资源使用情况，您可以使用日志记录它pidstat并将其写入日志文件。

还有一些应用程序会写一个PID文件，以便将来您也可以记录该文件。

Answer 2

如果您没有提前设置好内容，您将无法获得所需的内容，但 psacct 会跟踪进程，但您必须确保存储。然后，您将使用lastcomm 和各种工具来查看什么时间以及由什么用户运行。如果你的规则设置正确的话，审计也可能会发生。

但如果您没有提前设置这些东西，除非程序自己进行日志记录，否则您可能无法找到太多信息。