Acct v3 binary

プロセスアカウンティングで
バイナリに出会った

acct パッケージを使ってみる

ターミナル１
$ sudo aptitude install acct
$ tail ---disable-inotify -f /var/log/account/pacct

ターミナル２
$ ls

Lastcomm コマンド

● Lastcomm
ls yutaka-m pts/3 0.00 secs Sun Jan 13 15:47
less yutaka-m pts/3 0.00 secs Sun Jan 13 15:47
lastcomm yutaka-m pts/3 0.00 secs Sun Jan 13 15:47

問題

tail -f がちゃんと動いてない事件
Coreutils 6.XX -> 8.13 に変更

問題

coreutils 8.13 の tail
tail -f /var/log/account/pacct

出力なし。泣きたい。

解決？

inotify が悪さしてる？
tail ---disable-inotify -c 0 -f /var/log/account/pacct
出力が出ていることを確認。

出力確認
●
tail -f を通したデータが正しいとは限らない

もう何も信じられない！
構造体とバイナリを突き合わせて安心したい

ｌｓで出力されるバイナリ
tail ---disable-inotify -c 0 -f /var/log/account/pacct >/tmp/acct.log

hexdump -C /tmp/acct.log
00000000 00 03 02 88 00 00 00 00 e8 03 00 00 e8 03 00 00 |................|
00000010 87 1a 00 00 05 1a 00 00 7f 4d f2 50 00 00 00 00 |.........M.P....|
00000020 00 00 00 00 f0 15 00 00 00 00 6c 01 00 00 00 00 |..........l.....|
00000030 6c 73 00 00 00 00 00 00 00 00 00 00 00 00 00 00 |ls..............|
00000040

acct_v3 構造体
struct acct_v3 {
char ac_flag; /* Flags */
char ac_version; /* Always set to ACCT_VERSION (3) */
u_int16_t ac_tty; /* Controlling terminal */
u_int32_t ac_exitcode; /* Process termination status */
u_int32_t ac_uid; /* Real user ID */
u_int32_t ac_gid; /* Real group ID */
u_int32_t ac_pid; /* Process ID */
u_int32_t ac_ppid; /* Parent process ID */
u_int32_t ac_btime; /* Process creation time */
float ac_etime; /* Elapsed time */
comp_t ac_utime; /* User CPU time */
comp_t ac_stime; /* System time */
comp_t ac_mem; /* Average memory usage (kB) */
comp_t ac_io; /* Characters transferred (unused) */
comp_t ac_rw; /* Blocks read or written
(unused) */
comp_t ac_minflt; /* Minor page faults */
comp_t ac_majflt; /* Major page faults */
comp_t ac_swaps; /* Number of swaps (unused) */
char ac_comm[ACCT_COMM]; /* Command name */
};

バイナリを検証
フラグバージョン TTY exitcode userid groupid

00000000 00 03 02 88 00 00 00 00 e8 03 00 00 e8 03 00 00 |................|
00000010 87 1a 00 00 05 1a 00 00 7f 4d f2 50 00 00 00 00 |.........M.P....|
00000020 00 00 00 00 f0 15 00 00 00 00 6c 01 00 00 00 00 |..........l.....|
00000030 6c 73 00 00 00 00 00 00 00 00 00 00 00 00 00 00 |ls..............|
00000040
pid ppid 実行時間 Elapsed time
User CPU time System time memory usage (kB)

Minor page faults Major page faults
Command name

検証結果

データは正しい

Acct v3 binary

More Related Content

What's hot (19)

Similar to Acct v3 binary (20)

Acct v3 binary