為什么登陸失敗的日志寫入messages中而不是secure

greatspy

linux版本 redhat AS4.5
一直在用denyhosts 來避免ssh的攻擊 ，今天發(fā)現(xiàn) hosts.deny文件中沒東西了。檢查發(fā)現(xiàn) 所有的登陸日志都寫入到了messages的日志中了。而并非 secure中。
Dec 15 08:02:19 pui sshd[21999]: Failed password for root from 218.206.128.246 port 38882 ssh2
Dec 15 08:02:20 pui sshd[22001]: Failed password for root from 218.206.128.246 port 38988 ssh2

syslogd.conf 如下,明明是將authpriv的所有記錄都記錄到secure中的，不明白為什么寫到了messages中了 而messages處事 authpriv.none   
求高人指點。
# Log all kernel messages to the console.
# Logging much else clutters up the screen.
#kern.*                                                 /dev/console

# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none                /var/log/messages

# The authpriv file has restricted access.
authpriv.*                                              /var/log/secure

# Log all the mail messages in one place.
mail.*                                                  -/var/log/maillog

# Log cron stuff
cron.*                                                  /var/log/cron

# Everybody gets emergency messages
*.emerg                                                 *

# Save news errors of level crit and higher in a special file.
uucp,news.crit                                          /var/log/spooler

# Save boot messages also to boot.log
local7.*                                                /var/log/boot.log

jerryjzm

[root@host-lfs ~]# more /etc/syslog.conf
# Log all kernel messages to the console.
# Logging much else clutters up the screen.
#kern.*                                                 /dev/console

# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none                /var/log/messages

# The authpriv file has restricted access.
authpriv.*                                              /var/log/secure

這不是活生生的配置嘛！

emmoblin

上下兩個配置換個位置試試

greatspy

是啊 。配置是沒有問題
authpriv.*      /var/log/secure   意味著 所有authpriv 授權相關 的信息都應該記錄到secure中 ，而messages是 authpriv.none 表示不記錄，但又偏偏都記錄了。

jerryjzm

你明確，這些信息是在對應的文件中，不要登陸錯的機器，注意檢查一下！設置系統(tǒng)的log的地方不多！

greatspy

沒錯 。我有很多臺服務器的secure的log都寫入到了messages中了。開始以為是denyhosts的問題，后來發(fā)現(xiàn)沒裝denyhosts的也有這個問題，

難道是被攻擊了？

[ 本帖最后由 greatspy 于 2009-12-17 10:12 編輯 ]