Linux新手容易犯的一個錯誤是把日誌檔案給直接刪除，而不是刪除日誌檔案的內容。
直接刪除日誌檔案往往導致新產生的日誌記錄無法被寫入到日誌檔案中（因為它已經被刪除了），而僅僅重新新建（touch）同樣名字的檔案是解決不了問題的。

本文以Unbutu系統為例，介紹如何恢復被誤刪除的syslog檔案：

首先，在以root使用者執行如下lsof命令，查詢開啟/var/log/messages檔案的程序的程序ID(PID)。

複製程式碼程式碼如下:
[email protected]:/var/log# lsof | grep messages
rsyslogd 544 syslog 7w REG 8,1 214641 134422 /var/log/messages

從上面命令輸出可以看到，這個開啟/var/log/messages檔案的程序的PID是544，檔案/var/log/messages的檔案描述符（FD）號是7。
根據上述的PID和FD，可以在/proc找到對應的檔案：

複製程式碼程式碼如下:
[email protected]:/var/log#ls -al /proc/544/fd/7
l-wx------ 1 root root 64 2012-07-14 14:48 7 -> /var/log/messages

將檔案/proc/544/fd/7拷貝到/var/log/messages
cp /proc/544/fd/7 /var/log/messages 

然後重新啟動syslog服務即可恢復被誤刪除的日誌檔案，並且新的日誌記錄能夠繼續被寫入日誌檔案。
以root使用者執行service命令。其中，service命令的第2個引數可能是syslog、也可能是rsyslog。
具體可以使用通過命令查詢得知。

複製程式碼程式碼如下:
[email protected]:/proc/544/fd# service --status-all
[ ? ] ...
[ ? ] rc.local
[ ? ] rsyslog
[ ? ] screen-cleanup
[ ? ] ...

#-------------------------------

複製程式碼程式碼如下:
[email protected]:/proc/544/fd# service rsyslog restart
rsyslog start/running, process 2673

清空日誌檔案：
cat /dev/null>/var/log/messages