Fedora-Fr

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Pas de log apache !

rom56

Bonjour,

J'ai sans cesse des erreur apache du type "bad request" et pourtant aucuns fichier log n'est généré... faut-il activé une option particulière dans le php.ini ou httpd.conf que j'aurais modifié ?

ou alors peut-être que je cherche tout simplement au mauvais endroit.. !!

voila ce que j'obtients dans /var/log/httpd :

[root@localhost /]# ls -t -l /var/log/httpd/
total 1238700
-rw-r----- 1 root root 271780500 fÃ©v 21 17:29 modsec_audit.log
-rw-r----- 1 root root   8467688 fÃ©v 21 17:29 modsec_debug.log
-rw-r--r-- 1 root root 937788381 fÃ©v 21 17:29 mylogs.log
-rw-r--r-- 1 root root     58632 fÃ©v 21 14:18 ssl_error_log
-rw-r--r-- 1 root root         0 fÃ©v 13 21:50 error_log
-rw-r--r-- 1 root root     10896 sep 29 11:35 ssl_access_log
-rw-r--r-- 1 root root     12920 sep 29 11:35 ssl_request_log
-rw-r--r-- 1 root root  21002071 jan 21  2007 mylogs.log.1
-rw-r--r-- 1 root root      1185 jan 18  2007 ssl_error_log.1
-rw-r--r-- 1 root root  16027122 jan 14  2007 mylogs.log.2
-rw-r--r-- 1 root root       711 jan 11  2007 ssl_error_log.2
-rw-r--r-- 1 root root   8195496 jan  7  2007 mylogs.log.3
-rw-r--r-- 1 root root         0 jan  7  2007 access_log
-rw-r----- 1 root root         0 jan  7  2007 audit_log
-rw-r--r-- 1 root root      7554 jan  5  2007 ssl_error_log.3
-rw-r----- 1 root root     86266 jan  5  2007 audit_log.1
-rw-r--r-- 1 root root    151128 jan  5  2007 error_log.1
-rw-r--r-- 1 root root   3515513 jan  5  2007 access_log.1
-rw-r--r-- 1 root root       843 jan  5  2007 ssl_access_log.1
-rw-r--r-- 1 root root       979 jan  5  2007 ssl_request_log.1

merci !

pmarion

Bonjour,
Je crois que les logs sont relatif par rapport à la racine de httpd

doc apache wrote:# Configuration and logfile names: If the filenames you specify for many
# of the server's control files begin with "/" (or "drive:/" for Win32), the
# server will use that explicit path. If the filenames do *not* begin
# with "/", the value of ServerRoot is prepended -- so "logs/foo.log"
# with ServerRoot set to "/etc/httpd" will be interpreted by the
# server as "/etc/httpd/logs/foo.log".

De base c'est donc dans /etc/httpd/logs, mais il existe un lien symbolique entre /etc/httpd/logs et /var/log/httpd. ce lien est installé par httpd.

rom56

Merci pour ta réponse,

cependant pareil dans /etc/httpd/logs 🙁

je vois pas pourquoi aucunes erreur n'est enregistré alors que j'en ai plein !

[root@localhost logs]# ls -l /etc/httpd/logs/
total 1238804
-rw-r--r-- 1 root root         0 jan  7  2007 access_log
-rw-r--r-- 1 root root   3515513 jan  5  2007 access_log.1
-rw-r----- 1 root root         0 jan  7  2007 audit_log
-rw-r----- 1 root root     86266 jan  5  2007 audit_log.1
-rw-r--r-- 1 root root         0 fÃ©v 13 21:50 error_log
-rw-r--r-- 1 root root    151128 jan  5  2007 error_log.1
-rw-r----- 1 root root 271824125 fÃ©v 21 19:05 modsec_audit.log
-rw-r----- 1 root root   8471986 fÃ©v 21 19:05 modsec_debug.log
-rw-r--r-- 1 root root 937845406 fÃ©v 21 19:11 mylogs.log
-rw-r--r-- 1 root root  21002071 jan 21  2007 mylogs.log.1
-rw-r--r-- 1 root root  16027122 jan 14  2007 mylogs.log.2
-rw-r--r-- 1 root root   8195496 jan  7  2007 mylogs.log.3
-rw-r--r-- 1 root root     10896 sep 29 11:35 ssl_access_log
-rw-r--r-- 1 root root       843 jan  5  2007 ssl_access_log.1
-rw-r--r-- 1 root root     59106 fÃ©v 21 17:49 ssl_error_log
-rw-r--r-- 1 root root      1185 jan 18  2007 ssl_error_log.1
-rw-r--r-- 1 root root       711 jan 11  2007 ssl_error_log.2
-rw-r--r-- 1 root root      7554 jan  5  2007 ssl_error_log.3
-rw-r--r-- 1 root root     12920 sep 29 11:35 ssl_request_log
-rw-r--r-- 1 root root       979 jan  5  2007 ssl_request_log.1

pmarion

Pour vérifier l'existence du lien symbolique il faut faire :
ls -l /etc/httpd/logs
Résultat :
lrwxrwxrwx 1 root root 19 fev 16 09:17 /etc/httpd/logs -> ../../var/log/httpd

Autrement si le lien est correct, avec 'ls /etc/httpd/logs' et 'ls /var/log/httpd' tu liste le même contenu sans le savoir. Ah ! ! ! la puissance des liens symboliques ! ! .

Si tu pense qu'ils sont ailleurs, c'est que ta configuration le précise quelque part.

Pour retrouver un fichier :

Sous root :

updatedb
locate access_log

Exemple chez moi
[root@patmar ~]# locate error_log
/usr/share/doc/cups-1.3.5/help/ref-error_log.html
/var/log/cups/error_log
/var/log/httpd/error_log
/var/log/httpd/error_log-20071201
/var/log/httpd/error_log-20071210
/var/log/httpd/error_log-20071216
/var/log/httpd/ssl_error_log
/var/log/httpd/ssl_error_log-20071201
/var/log/httpd/ssl_error_log-20071210
/var/log/httpd/ssl_error_log-20071216

ces deux là sont trouvés par locate mais ne sont pas significatifs : 
/usr/share/doc/cups-1.3.5/help/ref-error_log.html
/var/log/cups/error_log

Tu devrais voir les logs d'apache dans /var/log et peut-être d'autres ailleurs.

blz

salut,

Recherche dans ton httd.conf les mots "error" et "LogLevel" :
$ more /etc/httpd/conf/httpd.conf | grep error
$ more /etc/httpd/conf/httpd.conf | grep LogLevel

On peut lire :
# LogLevel: Control the number of messages logged to the error_log.
# Possible values include: debug, info, notice, warn, error, crit,
# alert, emerg.

Regarde comment est définie la variable LogLevel. (Tu peux également voir l'emplacement(s) des fichiers de logs.)

Au risque de te faire taper sur les doigts, tu peux modifier ton httpd.conf selon ce que tu souhaites; sinon, tu regardes la doc sur ce site et tu te fais un petit fichier quelquechose.conf dans /etc/httpd/conf.

Ne pas oublier de recharger, voir relancer apache pour que la nouvelle conf soit prise en compte :
# service httpd reload
# service httpd restart

Ça marche mieux comme ça ?

rom56

Bonjour merci pour ta réponse !

Voila comment est définie loglevel :

LogLevel warn

faut-il que je le change?

sinon j'ai rien trouver de spécial à part que les logs sont bien enregistrés dans /etc/httpd/logs/ comment se fait-il que je n'ai rien dans error_log pour tout les erreur "bad request" que j'ai ??

proxy

Bonsoir,

fais un test en renommant dans /etc/httpd/conf.d, mod_security.conf en mod_security.bak

Pense à reloader Apache

rom56

merci pour ton aide,

toujours pareil rien dans error_log, au fait a quoi correspond le fichier error_log.1 ?

c'est bien la qu'il faut que je cherche pour les erreur ? je touche au loglevel ou pas ?

la j'ai toujours :

-rw-r--r-- 1 root root         0 jan  7  2007 access_log
-rw-r--r-- 1 root root   3515513 jan  5  2007 access_log.1
-rw-r----- 1 root root         0 jan  7  2007 audit_log
-rw-r----- 1 root root     86266 jan  5  2007 audit_log.1
-rw-r--r-- 1 root root         0 fév 13 21:50 error_log
-rw-r--r-- 1 root root    151128 jan  5  2007 error_log.1
-rw-r----- 1 root root 271921810 fév 21 22:23 modsec_audit.log
-rw-r----- 1 root root   8475021 fév 21 22:23 modsec_debug.log
-rw-r--r-- 1 root root 938012814 fév 21 22:23 mylogs.log
-rw-r--r-- 1 root root  21002071 jan 21  2007 mylogs.log.1
-rw-r--r-- 1 root root  16027122 jan 14  2007 mylogs.log.2
-rw-r--r-- 1 root root   8195496 jan  7  2007 mylogs.log.3
-rw-r--r-- 1 root root     10896 sep 29 11:35 ssl_access_log
-rw-r--r-- 1 root root       843 jan  5  2007 ssl_access_log.1
-rw-r--r-- 1 root root     60528 fév 21 22:23 ssl_error_log
-rw-r--r-- 1 root root      1185 jan 18  2007 ssl_error_log.1
-rw-r--r-- 1 root root       711 jan 11  2007 ssl_error_log.2
-rw-r--r-- 1 root root      7554 jan  5  2007 ssl_error_log.3
-rw-r--r-- 1 root root     12920 sep 29 11:35 ssl_request_log
-rw-r--r-- 1 root root       979 jan  5  2007 ssl_request_log.1

blz

re,

Je me demande si tu n'aurais pas une (des) partition(s) pleine(s) ?
Fais un :
# du -h
ça lèvera le doute.

Dans /var/log/httpd/ et /etc/httpd/logs/ tu as des gros fichiers : 900, 200 MO ... ce sont d'ailleurs ceux là qui ont été écrits en dernier. Par contre, pour y lire les informations intéressantes, il faut lire juste les dernières lignes, sinon...

rom56

Bonjour & merci !

oui ça peut en effet être un des problèmes mais je pense qu'il doit être bien rempli mas pas plein !

puis-je supprimer les gros fichier logs qui me serve à rien avec un "rm" ? sinon comment faire pour regarder juste les dernières lignes?

272     ./etc/usermin
8       ./etc/NetworkManager
188816  ./etc
80      ./media/dyndns
92      ./media
8       ./srv
6800    ./bin
8       ./opt
9239624 .

et l'espace free :

[root@localhost /]# df
Sys. de fich.        1K-blocs       OccupÃ© Disponible CapacitÃ© MontÃ© sur
/dev/mapper/main-root
                      16061344   9306260   5926056  62% /
/dev/md1                101018     16791     79011  18% /boot
tmpfs                   257488         0    257488   0% /dev/shm

merci !

pmarion

rom56 wrote:au fait a quoi correspond le fichier error_log.1

Les xxxx.1 xxxx.2 sont le résultat d'une rotation/purge des logs pour que lors d'une remise à zéro du log on garde une trace de son ancien contenu dans des fichiers log précédents. Mais chez moi, j'ai des logs avec la date et non pas .1 .2.

Chez moi
access.log change à chaque fois que quelqu'un se connecte, alors que chez toi il date du 17 janvier .
error_log change au moins à chaque démarrage, même sans erreur on y trouve la trace du démarrage de chaque reload.

Essaie sous root :
service httpd reload
ls -lart /etc/httpd/*log

Autrement vérifie ton php.ini avec cette page

blz

Bien vu rom56, c'était la commande "df" et nom "du" comme je te l'indiquais pour voir le remplissage de tes partitions. Il a l'air de te rester 6 GO de libre, ça devrait aller, enfin tu as quand même des fichiers de logs d'apache -énormes-.

Pour lire les dernières lignes d'un fichier, fais un tour sur "man less". Je connais mal cette commande, mais je viens de trouver que si tu fais :
# less tonfichier.chose
ça affiche les premières lignes, puis si tu appuyes sur la lettre "G" (en majuscule), ça affiche la fin dun fichier, tu peux remonter avec les flèches. Touche "q" pour sortir de l'affichage du fichier.
Par contre, j'ai mal saisi si ça mettait tout le fichier en mémoire ou non (un petit 1 GO pour ton mylogs.log quand même). Donc, je serais toi, avant de faire un
#less /var/log/httpd/mylogs.log, j'ouvrirais une autre console avec un un "top" dedans pour comprendre ce qu'il se passe si la machine ralenti un instant.

Il y a sans doute / peut-être des informations intéressantes à la fin des fichiers modifiés les derniers; dis nous ce qu'ils racontent.

Jamais entendu parler de ce fichier mylogs.log, enfin, c'est peut-être toi qui l'a réglé comme ça ? Dans la conf d'apache, que vaut la valeur de ErrorLog :
$ more /etc/httpd/conf/httpd.conf | grep ErrorLog
et celle de CustomLog :
$ more /etc/httpd/conf/httpd.conf | grep CustomLog

rom56

Merci à vous deux pour vos réponses,

pour la question de pmarion j'ai bien vérifier les paramètres de mon php.ini tout semble nickel ! enfin j'ai l'impression en tout cas... je reporte les erreur (display error = yes et en "E_ALL" ) j'ai relancer avec les commandes que tu m'a donné c'est pareil 🙁

sinon mon error_log vaut : "ErrorLog logs/mylogs.log"
et mon Custom_log "CustomLog logs/mylogs.log common"

je vois dans modsec_audit.log que mon problème de bad request semble venir du mod_security :

--52357a78-A--
[22/Feb/2008:15:53:38 +0100] Yy7t1n8AAAEAACMoZjkAAAAB 192.168.1.10 4648 192.168.1.12 80
--52357a78-B--
POST /send.php?sendid=1 HTTP/1.1
Host: www.xxxx
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; fr; rv:1.8.1.12) Gecko/20080201 Firefox/2.0.0.12
Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*;q=0.5
Accept-Language: fr,fr-fr;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive: 300
Connection: keep-alive
Referer: http://www.xxxx/send.php
Content-Type: application/x-www-form-urlencoded
Content-Length: 50

--52357a78-C--
pseudo=%E9%E9%E9%E9&message=%E9&submit=Envoyer+%21
--52357a78-F--
HTTP/1.1 400 Bad Request
Content-Length: 346
Connection: close
Content-Type: text/html; charset=iso-8859-1

--52357a78-H--
Message: Access denied with code 400 (phase 2). Invalid Unicode encoding: invalid byte value in character. [id "950801"] [msg "UTF8 Encoding Abuse Attack Attempt"] [severity "WARNING"]
Action: Intercepted (phase 2)
Stopwatch: 1203692018527702 3544 (1009* 1897 -)
Producer: ModSecurity v2.1.3 (Apache 2.x)
Server: Apache/2.2.6 (Fedora)

--52357a78-Z--

puis-je le désactivé ? si oui comment ?

sinon ça n'a pas d'importance si je supprime mes fichiers logs?

merci à tous !

proxy

rom56 wrote:...
je vois dans modsec_audit.log que mon problème de bad request semble venir du mod_security :

C'etait ma premiere question !!! 😉

rom56

proxy wrote:
rom56 wrote:...
je vois dans modsec_audit.log que mon problème de bad request semble venir du mod_security :
C'etait ma premiere question !!! 😉

merci proxy !

que puis-je faire alors? car mon mod_security a l'air desactivé... :

<IfModule mod_security.c>
# Turn off mod_security filtering.
SecFilterEngine Off
SecFilterScanPOST Off
</IfModule>
#
# ServerAdmin: Your address, where problems with the server should be
# e-mailed.  This address appears on some server-generated pages, such
# as error documents.  e.g. admin@your-domain.com
#
ServerAdmin root@localhost

<IfModule mod_security.c>
# Turn off mod_security filtering.
SecFilterEngine Off
SecFilterScanPOST Off
</IfModule>

proxy

dans /etc/httpd/conf.d, seuls les fichiers *.conf sur chargés. Si tu renommes mod_security.conf en .bak, il ne sera pas loadé.

rom56

bonjour proxy j'avais bien fais la manip que tu m'avais dis !

j'ai trouvé la solution en modifiant : /etc/httpd/modsecurity.d/modsecurity_crs_10_config.conf

et en désactivant le mod_security !

Merci beaucoup à tout le monde 🙂 content d'avoir enfin trouver d'ou vient mon erreur !