IIS日志字段詳解

      抓住8月的尾巴，彌補下這個月的空白，事情太多，忘了寫博客這回事了。

 

IIS日志字段設置                                         

　　網站運營時會經常對IIS日志進行分析，盡管有很多工具可以分析（Cygwin命令行模式就很好，前提是掌握一些簡單的Linux命令），但是前提是熟悉IIS日志每個字段的含義，這樣才能夠更有針對性的分析潛在的問題。

　　 IIS日志建議使用W3C擴充日志文件格式，這也是IIS 5.0已上默認的格式，可以指定每天記錄客戶IP地址、用戶名、服務器端口、方法、URI資源、URI查詢、協議狀態、用戶代理，每天要審查日志。這些字段可以手動設置：

 

IIS 的WWW日志文件默認位置為 %systemroot%\system32\logfiles\w3svcN\，（例如： C:\WINDOWS\system32\LogFiles\W3SVC1\）。一般服務器上日志的保存不使用默認路徑，更換一個記錄日志的路徑，同時設置日志訪問權限，只允許管理員和SYSTEM為完全控制的權限。

日志文件的名稱格式是：ex+年份的末兩位數字+月份+日期。
( 如2013年4月10日的WWW日志文件是ex130410.log ）

IIS日志字段

#Software: Microsoft Internet Information Services 7.5

#Version: 1.0

#Date: 2013-08-21 01:00:00

#Fields: date time s-sitename s-computername s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs-version cs(User-Agent) cs(Cookie) cs(Referer) cs-host sc-status sc-substatus sc-win32-status sc-bytes cs-bytes time-taken

日志的主體是一條一條的請求信息，請求信息的格式是由#Fields定義的，每個字段都有空格隔開。

若是重啟進程，則這四行會再記錄一次。

前綴	含義
s-	服務器操作。
c-	客戶端操作。
cs-	客戶端到服務器的操作。
sc-	服務器到客戶端的操作。

 

各個字段的含義 

序號	字段	字段	格式及值	備注
1	date	日期	2013-08-21	活動發生的日期。
2	time	時間	01:16:11 +8小時	活動發生的時間。
3	s-sitename	服務名	W3SVC2	客戶端所訪問的該站點的 Internet 服務和實例的號碼。
4	s-computername	服務器名	VMS01487	生成日志項的服務器名稱。
5	s-ip	服務器IP	10.8.2.174	生成日志項的服務器的IP地址。
6	cs-method	方法	GET/POST	客戶端試圖執行的操作（例如 GET 方法）
7	cs-uri-stem	請求訪問的頁面	/TrainBooking/Search.aspx	/表示訪問主頁
8	cs-uri-query	訪問的查詢字符串	from=beijingxi&to=xinxiang2&day=1&number=&fromCn=%B1%B1%BE%A9&toCn=%D0%C2%CF%E7	客戶端正在嘗試執行的查詢（如果有）。查詢HTTP請求中問號（?）后的信息
9	s-port	服務器端口	80	客戶端連接的服務器端口號。
10	cs-username		-	對於通過身份驗證的用戶，格式是“域\用戶名”；對於匿名用戶，是一個連字符 (-)。
11	c-ip	客戶端IP	120.71.108.114	訪問服務器的客戶端 IP 地址。（已過濾掉中間各種IP，是真實的客戶端IP）
12	cs-version	協議版本	HTTP/1.1	客戶端使用的協議（HTTP，FTP）版本。對於 HTTP，這將是 HTTP 1.0 或 HTTP 1.1。
13	cs(User-Agent)	用戶代理	Mozilla/4.0+(compatible;+MSIE+8.0;+Windows+NT+5.1;+Trident/4.0;+QQDownload+718)	在客戶端使用的瀏覽器。
14	cs(Cookie)	Cookie	Session=SmartLinkLanguage=zh&SmartLinkHost=&SmartLinkQuary=&SmartLinkKeyWord=&SmartLinkCode=U217664;+Union=OUID=baidu6a%7Ctrain%7C%7C%7C&AllianceID=4897&SID=217664;+rt=4_1;+__utma=1.1239641147.1377046635.1377046635.1377046635.1;+__utmb=1.1.10.1377046635;+__utmc=1;+__utmz=1.1377046635.1.1.utmcsr=baidu|utmccn=Baidu6a|utmcmd=cpc|utmctr=%E7%81%AB%E8%BD%A6%E7%A5%A8%E6%9F%A5%E8%AF%A2;+traceExt=campaign=CHNbaidu6a&adid=train;+_bfa=1.1377046635093.2zk2zs.1.1377046635093.1377046635093.1.1;+_bfs=1.1;+_bfp=469547008;+_bfi=p1=108001&p2=0&v1=1&v2=1;+ALLYESID4=06D7467F7F5F739E;+TrainLastSearch=%E9%93%9C%E4%BB%81%7Ctongren%7C%E6%B7%B1%E5%9C%B3%E8%A5%BF%7Cshenzhenxi%7C2013-08-21%7C;+ASP.NET_SessionId=kqc0qh3d3zmg42zlnruijtb1	發送或接收的 Cookie 的內容（如果有）
15	cs(Referer)	引用站點	http://trains.xxx.com/TrainBooking/RoundTrip.aspx?from=liuan&to=jiaxing&day=4&dayreturn=5&number=&fromCn=六安&toCn=嘉興	用戶訪問的前一個站點。此站點提供到當前站點的鏈接。
16	cs-host	主機	trains.xxx.com （有時直接訪問服務器IP，10.8.2.174）	顯示主機頭的內容。
17	sc-status	協議返回狀態	200	以HTTP或FTP表示的操作的狀態
18	sc-substatus	HTTP子協議的狀態	0
19	sc-win32-status	Win32® 狀態	0	用 Windows® 使用的術語表示的操作的狀態。
20	sc-bytes	服務器發送的字節數	87682	服務器發送的字節數。
21	cs-bytes	服務器接受的字節數	1324	服務器接收的字節數。
22	time-taken	所用時間	187	操作花費的時間長短（亳秒）

 

分析方法:用終端Cygwin分析的基本命令就是awk,grep，wc等等