高分悬赏：文件服务器文件被删除,可以查到谁删除的么?

我也是管服务器的，说实话你这种情况我也碰到过，但是查出来是谁删除的难度实在太大。
我们以前在一台服务器上做了文件修改审核，在日志里面也做了过滤，但是一天的日志就有10多万条（我们公司的用户有500多吧），在里面找一些 *** 作痕迹几乎不可能。
所以最好的方法是将文件服务器的权限管控好，譬如分部门，部门文件夹只能该部门的人员访问，然后下面分个人，个人的文件夹同部门的人员都可以读取，但是只有个人能够更改，部门有个专门的公用文件夹，同部门的人每个都可以更改。
在AD里面建一个OU，专门放置SHAREGROUP，每个部门都建立组。
如果有两个部门以上的人员需要共享资料就在其他地方建立文件夹的方式，如Public-Dept等等，具体的要看你的需求而定。
我们这样建立文件服务器后再也没有出现误删的情况了，不过删除了也不怕，我们有用symentc
backup
exec每天备份的。
祝你好运了。

从下面的的命令中，我们可以列出可执行文件或者共享对象的动态从属关系，这玩意没了，你的什么ls,cd什么的命令就都费了，如果ldso1文件被破坏了，系统肯定无法正常启动。
/usr/bin/ldd [filename]
/ List the dynamic dependencies of executable files /
# /usr/bin/ldd /usr/bin/cat
libcso1 => /usr/lib/libcso1
libdlso1 => /usr/lib/libdlso1
/usr/platform/SUNW,Ultra-1/lib/libc_psrso1
# ldd /usr/bin/ls
libcso1 => /usr/lib/libcso1
libdlso1 => /usr/lib/libdlso1
/usr/platform/SUNW,Ultra-1/lib/libc_psrso1
# ldd /usr/bin/cp
libcso1 => /usr/lib/libcso1
libdlso1 => /usr/lib/libdlso1
/usr/platform/SUNW,Ultra-1/lib/libc_psrso1
二、ldso1文件损坏或丢失解决的办法
1．如果意外的/usr/lib/ldso1损坏或丢失，系统没有正常启动的情况下：
执行命令都会出现错误信息：
#reboot
Reboot :can not find /usr/lib/ldso1
#find
Find: /usr/lib/ldso1
#ls
Ls: can not find can not find
这时，千万不要重启动，立即用/usr/sbin/static/mv、/usr/sbin/static/cp命令恢复 ：
#/sbin/static/cp /etc/lib/ldso1 /usr/lib/
经过实验，系统恢复正常！这时，你试试如下命令，就能体会到为什么了。
---------------------------------------------------------------------------
# ls /usr/sbin/static
cp ln mv rcp tar
SUN的工程师非常聪明，为了防备了这个情况， 做了以上几个不使用动态连接库的命令
#find / -name ldso1 -print
/usr/lib/sparcv9/ldso1
/usr/lib/ldso1
/etc/lib/ldso1
blade% ls -ld /usr/lib/sparcv9/ldso1
-rwxr-xr-x 1 root bin 191672 Jul 28 2001 /usr/lib/sparcv9/ldso1
blade% ls -ld /usr/lib/ldso1
-rwxr-xr-x 1 root bin 196852 Jul 28 2001 /usr/lib/ldso1
blade% ls -ld /etc/lib/ldso1
-rwxr-xr-x 1 root bin 196852 Jul 28 2001 /etc/lib/ldso1
---------------------------------------------------------------------------
从上面的，我们又可以看到，这个库文件，不仅仅在/usr/lib有，在/etc/lib、/usr/lib/sparcv9/下也有，所以你就重新在本机上拷贝一份就行了。这些信息在这个连接库不正常的情况下是看不到的。
2．如果意外的/usr/lib/ldso1损坏或丢失，系统启动的情况下：
错误信息：
Uname:can not find /usr/lib/ldso1
Loadkeys: can not find /usr/lib/ldso1
Killed
Cfsfstype: can not find /usr/lib/ldso1
Expr: can not find /usr/lib/ldso1
Swap: can not find /usr/lib/ldso1
Killed
Fsck: can not find /usr/lib/ldso1
Killed
这时，用光盘启动到单用户下：
ok boot cdrom -s (放入启动安装光盘)
#mount /dev/dsk/c0t0d0s0 /mnt (这里指定原usr目录对应的原始设备名)
# cp /mnt/etc/lib/ldso1 /mnt/lib/(就是将/usr/etc下的这个文件拷贝到/usr/lib下。)
系统重新启动,一切正常!
3如果/usr被改名了情况下，怎么办？
假设/usr改名成了/faint，系统没有启动
马上执行
#/faint/sbin/static/mv /faint /usr
假设/usr改名成了/faint，系统重新启动,这时肯定不能正常启动,同样我们启动到单用户下:
ok boot cdrom -s (放入启动安装光盘)
mount /dev/dsk/c0t0d0s0 /mnt (这里指定原usr目录对应的原始设备名)
mv /mnt/faint /mnt/usr
建议把/usr/sbin/static下的东西拷一份到/sbin下或者其它比较可信的跟/在同一个文件系统下的目录下。以备系统不测
之后，我又进行了多次实验，各个版本系统下的/usr/lib/ldso1文件互相兼容。所以也可以从其他机器拷贝过来。

---