引言
Linux小白很容易犯得一个错误就是：查看日志的时候，尤其是系统日志，由于日志太多，把系统日志手动删除了。也就是把/var/log/messages文件删除了，而不是删除文件的内容。直接删除文件会导致新产生的日志无法被写入到文件当中，只有清空文件内容后续的日志才能继续写入文件。当然删除文件之后仅仅新建一个同样名字的文件是解决不了问题的。
解决方案
文本以CentOS7为例，介绍如何恢复手动删除了系统日志/var/log/messages
1、执行lsof命令查询/var/log/messages文件的进程的进程ID(PID)
如果lsof没有安装，先安装一下
yum install lsof -y
查看messagesPID
lsof | grep messages
会显示如下内容：
rsyslogd 544 syslog 7w REG 8,1 214641 134422 /var/log/messages
2、根据PID和FD找到对应的文件
从上面命令输出可以看到，这个打开/var/log/messages文件的进程的PID是544，文件/var/log/messages的文件描述符（FD）号是7。
根据上述的PID和FD，可以在/proc找到对应的文件：
ls -al /proc/544/fd/7
会显示如下内容：
l-wx------ 1 root root 64 2012-07-14 14:48 7 - /var/log/messages
所以/proc/544/fd/7 这就是messages对应的文件
3、将文件拷贝到/var/log/messages
cp /proc/544/fd/7 /var/log/messages
4、重启syslog服务
service rsyslog restart
这样系统日志就能正常写入了。
结语
那有同学问了，那系统日志太多了，不方便查看，我怎么清空日志，然后只生成我想要的日志呢。
可以执行以下命令
cat /dev/null>/var/log/messages
好了本节课到这也就结束了，同学们听懂了嘛？