Linux系统中wtpm日志文件分析（linuxwtmp）

随着操作系统的发展，Linux日志文件的用途变得越来越多，wtpm日志文件也是Linux系统中不可或缺的一部分。所谓wtpm日志文件，是指系统的“水浒进程管理”日志文件。wtpm是水浒进程管理的缩写，它可以记录所有Linux内核进程的信息，按照给定的时间线查看活跃进程，并记录每个活跃进程的父子进程ID数据。

在进行wtpm日志文件分析之前，首先需要调用 Linux 系统中原生函数 syslog() 来启用wtpm日志记录功能，以此来写入和收集 wtpm日志文件。此外，可以使用如下代码方式在Linux系统中开启日志：

“`C

syslog_setoption (LOG_ODELAY);

syslog (LOG_INFO, “WTPM logging enabled”);


在调用 syslog X 函数之后，可以实现对 wtpm日志文件的输入和输出操作。若要读取wtpm日志文件，可以使用系统自带的文件处理函数open()、read()和close()，以及 Linux 内核中的 ps_info_t 结构，实现对wtpm日志文件的读取操作：

```C
int fd;
ps_info_t* ps_data;
fd = open("/var/log/wtpm.log", O_RDONLY); //打开wtpm日志文件
while(read(fd, ps_data, sizeof(psindo_t))) {  
  //读取wtpm日志文件
  process_name(ps_data);   //根据ps_data处理文件  

}    
close(fd);   //关闭文件

此外，也可以使用 shell script 命令 tail 来查看 wtpm 日志文件的内容：