# wie sehen was/wer auf die festplatte schreibt

## pieter_parker

ich sehe im gkrellm das auf einer festplatte geschrieben wird, wie kann ich nachsehen welches programm/welcher user da am schreiben ist ?

----------

## c_m

lsof | grep /mount/punkt

----------

## pieter_parker

da wird nichts aufgelistet, vielleicht ist der moment einfach zukurz wo etwas schreibt, und ich fuehre lsof nicht im richtigen moment aus ? gibt es eine moeglichkeit das ueber einen zeitraum von ca 20sek ueberwachen zulassen ?

----------

## think4urs11

evtl. gehts indirekt

via inotify passende Watch(es) setzen der/die dich informiert sobald etwas geschrieben wird und dann via lsof/procfs herausfinden welches Prog/User das ist

----------

## rukka

Eine hübsche Übersicht bekommt man mit:

```
> sysctl vm.block_dump=1
```

Dann zeigt dmesg beziehungsweise z.B. (ein eingerichteter) syslog-ng alle Vorgänge an die sich auf Festplattenzugriffe beziehen.

Kurze weiterführende Literatur

----------

## pieter_parker

das mit inotifywatch ist mir nicht ganz klar, wie muss ich da was setzen und kann es boebachten ?

> sysctl vm.block_dump=1

einfach so in der konsole eingeben ?

"-bash: vm.block_dump=1: command not found" kommt bei mir dann

sorrie leute, aber ich versteh das nicht, ich will doch nur sehen koennen welches programm am schreiben ist

----------

## schmutzfinger

Wie geil  :Wink: . Lies mal "man bash" und kriege raus was das ">" macht. Und dann überleg dir ob es zu dem Befehl gehört. Wenn du fertig bist solltest du noch ne leere Datei mit dem Namen "sysctl" suchen und löschen.  Die liegt hoffentlich in "~root/". Dann solltest du dir angewöhnen nicht jeden Befehl aus nem Forum einfach so abzutippen ohne nur ansatzweise zu verstehen was er macht.

Und dann kannste deine Mails nochmal schnell lesen: 

```
rm -rf /
```

 (read mail --really --fast).

----------

## pieter_parker

mein system war weg .. ich musste neuinstallieren

das hattest du gehofft zulesen, falsch gehofft

mir ist schon klar was "rm" und was ">" bedeuten ..

aber ich verstehe nicht wie " > sysctl vm.block_dump=1  " gemeint sein soll, was ich damit machen soll um angezeigt zubekommen was/wer auf die festplatte schreibt

----------

## mrsteven

Das '>' brauchst du nicht eingeben... *mal kurz vom Schlauch runterschubs*  :Wink: 

Wird nur oft verwendet um anzuzeigen, dass du das in der Shell eingeben musst.

<klugscheißmode>

Eigentlich müsste es # sysctl vm.block_dump heißen, denn der Befehl funktioniert nur als root.

</klugscheißmode>

----------

## schmutzfinger

 *pieter_parker wrote:*   

> mein system war weg .. ich musste neuinstallieren
> 
> 

 

Das wollte ich nicht hören, steht aber schon in meinem Post drinne.

----------

## pieter_parker

```

 tail -f /var/log/messages |grep sda

Jun 11 01:51:43 server pdflush(13271): WRITE block 0 on sda3

Jun 11 01:51:43 server pdflush(13271): WRITE block 40 on sda3

Jun 11 01:51:43 server pdflush(13271): WRITE block 66584592 on sda3

Jun 11 01:51:43 server kjournald(1124): WRITE block 130925752 on sda3

Jun 11 01:51:43 server kjournald(1124): WRITE block 130925760 on sda3

Jun 11 01:51:43 server kjournald(1124): WRITE block 130925768 on sda3

Jun 11 01:51:43 server kjournald(1124): WRITE block 130925776 on sda3

Jun 11 01:51:43 server kjournald(1124): WRITE block 37592 on sda3

Jun 11 01:51:43 server kjournald(1124): WRITE block 37600 on sda3

Jun 11 01:51:43 server kjournald(1124): WRITE block 37608 on sda3

Jun 11 01:51:43 server kjournald(1124): WRITE block 37616 on sda3

Jun 11 01:51:43 server kjournald(1124): WRITE block 37624 on sda3

Jun 11 01:51:43 server kjournald(1124): WRITE block 37632 on sda3

Jun 11 01:51:48 server pdflush(13271): WRITE block 66797632 on sda3

Jun 11 01:51:48 server pdflush(13271): WRITE block 66797640 on sda3

Jun 11 01:51:48 server pdflush(13271): WRITE block 66797648 on sda3

Jun 11 01:51:48 server pdflush(13271): WRITE block 66797664 on sda3

Jun 11 01:51:48 server pdflush(13271): WRITE block 66797672 on sda3

Jun 11 01:51:48 server pdflush(13271): WRITE block 66797680 on sda3

Jun 11 01:51:48 server pdflush(13271): WRITE block 66797688 on sda3

Jun 11 01:51:48 server pdflush(13271): WRITE block 66797744 on sda3

Jun 11 01:51:48 server pdflush(13271): WRITE block 66797752 on sda3

Jun 11 01:51:48 server pdflush(13271): WRITE block 66814088 on sda3

Jun 11 01:51:48 server pdflush(13271): WRITE block 66825768 on sda3

Jun 11 01:51:48 server kjournald(1124): WRITE block 130925776 on sda3

Jun 11 01:51:48 server kjournald(1124): WRITE block 130925784 on sda3

Jun 11 01:51:48 server kjournald(1124): WRITE block 37640 on sda3

Jun 11 01:51:48 server kjournald(1124): WRITE block 37648 on sda3

Jun 11 01:51:48 server kjournald(1124): WRITE block 37656 on sda3

Jun 11 01:51:48 server kjournald(1124): WRITE block 37664 on sda3

Jun 11 01:51:48 server kjournald(1124): WRITE block 37672 on sda3

Jun 11 01:51:48 server kjournald(1124): WRITE block 37680 on sda3

Jun 11 01:51:48 server vmware-vmx(7863): dirtied inode 4161541 (ram0) on sda3

Jun 11 01:51:48 server vmware-vmx(7863): dirtied inode 4161541 (ram0) on sda3

Jun 11 01:51:53 server pdflush(13271): WRITE block 66798088 on sda3

Jun 11 01:51:53 server pdflush(13271): WRITE block 66798096 on sda3

Jun 11 01:51:53 server pdflush(13271): WRITE block 66798104 on sda3

Jun 11 01:51:53 server pdflush(13271): WRITE block 66798120 on sda3

Jun 11 01:51:53 server pdflush(13271): WRITE block 66798128 on sda3

Jun 11 01:51:53 server pdflush(13271): WRITE block 66798136 on sda3

Jun 11 01:51:53 server pdflush(13271): WRITE block 66805760 on sda3

Jun 11 01:51:53 server pdflush(13271): WRITE block 66805832 on sda3

Jun 11 01:51:53 server pdflush(13271): WRITE block 66805840 on sda3

Jun 11 01:51:53 server pdflush(13271): WRITE block 66810880 on sda3

Jun 11 01:51:53 server pdflush(13271): WRITE block 66866808 on sda3

Jun 11 01:51:53 server kjournald(1124): WRITE block 130925784 on sda3

Jun 11 01:51:53 server kjournald(1124): WRITE block 130925792 on sda3

Jun 11 01:51:53 server vmware-vmx(8233): dirtied inode 4161542 (ram0) on sda3

Jun 11 01:51:53 server vmware-vmx(8233): dirtied inode 4161542 (ram0) on sda3

Jun 11 01:51:53 server kjournald(1124): WRITE block 37688 on sda3

Jun 11 01:51:53 server kjournald(1124): WRITE block 37696 on sda3

Jun 11 01:51:53 server kjournald(1124): WRITE block 37704 on sda3

Jun 11 01:51:53 server kjournald(1124): WRITE block 37712 on sda3

Jun 11 01:51:53 server kjournald(1124): WRITE block 37720 on sda3

Jun 11 01:51:53 server kjournald(1124): WRITE block 37728 on sda3

Jun 11 01:51:53 server kjournald(1124): WRITE block 37736 on sda3

Jun 11 01:51:58 server kjournald(1124): WRITE block 130925792 on sda3

Jun 11 01:51:58 server kjournald(1124): WRITE block 130925800 on sda3

Jun 11 01:51:58 server kjournald(1124): WRITE block 37744 on sda3

Jun 11 01:51:58 server kjournald(1124): WRITE block 37752 on sda3

Jun 11 01:51:58 server kjournald(1124): WRITE block 37760 on sda3

Jun 11 01:51:58 server kjournald(1124): WRITE block 37768 on sda3

Jun 11 01:51:58 server kjournald(1124): WRITE block 37776 on sda3

Jun 11 01:51:58 server kjournald(1124): WRITE block 37784 on sda3

Jun 11 01:51:58 server kjournald(1124): WRITE block 37792 on sda3

Jun 11 01:52:03 server kjournald(1124): WRITE block 130925800 on sda3

Jun 11 01:52:03 server kjournald(1124): WRITE block 130925808 on sda3

Jun 11 01:52:03 server kjournald(1124): WRITE block 130925816 on sda3

Jun 11 01:52:03 server kjournald(1124): WRITE block 37800 on sda3

Jun 11 01:52:03 server kjournald(1124): WRITE block 37808 on sda3

Jun 11 01:52:03 server kjournald(1124): WRITE block 37816 on sda3

Jun 11 01:52:03 server kjournald(1124): WRITE block 37824 on sda3

Jun 11 01:52:03 server kjournald(1124): WRITE block 37832 on sda3

Jun 11 01:52:03 server kjournald(1124): WRITE block 37840 on sda3

Jun 11 01:52:08 server syslog-ng(4983): dirtied inode 8178109 (messages) on sda3

Jun 11 01:52:08 server pdflush(13271): WRITE block 130925816 on sda3

Jun 11 01:52:08 server pdflush(13271): WRITE block 130925824 on sda3

Jun 11 01:52:08 server kjournald(1124): WRITE block 130925824 on sda3

Jun 11 01:52:08 server kjournald(1124): WRITE block 130925832 on sda3

Jun 11 01:52:08 server kjournald(1124): WRITE block 130925840 on sda3

Jun 11 01:52:08 server kjournald(1124): WRITE block 130925848 on sda3

Jun 11 01:52:08 server kjournald(1124): WRITE block 130925856 on sda3

Jun 11 01:52:08 server kjournald(1124): WRITE block 130925864 on sda3

Jun 11 01:52:08 server kjournald(1124): WRITE block 37848 on sda3

Jun 11 01:52:08 server kjournald(1124): WRITE block 37856 on sda3

Jun 11 01:52:08 server kjournald(1124): WRITE block 37864 on sda3

Jun 11 01:52:08 server kjournald(1124): WRITE block 37872 on sda3

Jun 11 01:52:08 server kjournald(1124): WRITE block 37880 on sda3

Jun 11 01:52:08 server kjournald(1124): WRITE block 37888 on sda3

Jun 11 01:52:08 server kjournald(1124): WRITE block 37896 on sda3

```

gkrellm zeigt mir an das alle 4..5 sekunden auf sda 30..40..50 kb geschrieben werden -  ich werd aber nicht schlau draus was da nun geschrieben wird, und warum

----------

## gimpel

 *pieter_parker wrote:*   

> da wird nichts aufgelistet, vielleicht ist der moment einfach zukurz wo etwas schreibt, und ich fuehre lsof nicht im richtigen moment aus ? gibt es eine moeglichkeit das ueber einen zeitraum von ca 20sek ueberwachen zulassen ?

 

Neben lsof gibts auch noch fuser

```
man fuser
```

Damit das mit den Momenten auf kurze Distanz was wird, kann man es in eine Schleife packen, ala

```
while true; do fuser  -muv /mount/punkt; sleep 0.5; done
```

Das lässt sich dann mit strg+c beenden.

----------

## musv

 *schmutzfinger wrote:*   

> Und dann kannste deine Mails nochmal schnell lesen: 
> 
> ```
> rm -rf /
> ```
> ...

 

*lol* Soll ich jetzt noch meine Smiley-Forkbombe posten?

----------

## Vortex375

Ich bitte darum.  :Very Happy: 

----------

## pieter_parker

```

Jun 15 19:35:16 server vmware-vmx(805): dirtied inode 4161546 (ram0) on sda3

Jun 15 19:35:16 server vmware-vmx(27957): dirtied inode 4161544 (ram0) on sda3

Jun 15 19:35:16 server vmware-vmx(7864): dirtied inode 4161541 (ram0) on sda3

Jun 15 19:35:16 server vmware-vmx(27958): dirtied inode 4161544 (ram0) on sda3

Jun 15 19:35:16 server vmware-vmx(803): dirtied inode 4161546 (ram0) on sda3

Jun 15 19:35:16 server vmware-vmx(27958): dirtied inode 4161544 (ram0) on sda3

Jun 15 19:35:16 server vmware-vmx(27958): dirtied inode 4161544 (ram0) on sda3

Jun 15 19:35:16 server vmware-vmx(27957): dirtied inode 4161544 (ram0) on sda3

Jun 15 19:35:16 server vmware-vmx(805): dirtied inode 4161546 (ram0) on sda3

Jun 15 19:35:16 server vmware-vmx(27958): dirtied inode 4161544 (ram0) on sda3

Jun 15 19:35:16 server vmware-vmx(27957): dirtied inode 4161544 (ram0) on sda3

Jun 15 19:35:16 server vmware-vmx(27957): dirtied inode 4161544 (ram0) on sda3

```

das scheint vmware zu sein was da soviel rumschreibt auf sda, meine vmware maschienen liegen aber alle auf einer anderen festplatte

warum schreibt vmware da so extrem viel rum? grob ueberschlagen muessen das an die 100 bis 400 mb in der minute sein

----------

## blice

Kann es sein daß sda3  die swap bzw tmp enthält? und vmware den platz nutzt um den gastkrams zu swappen ..

----------

## musv

 *pieter_parker wrote:*   

> das scheint vmware zu sein was da soviel rumschreibt auf sda, meine vmware maschienen liegen aber alle auf einer anderen festplatte. warum schreibt vmware da so extrem viel rum? grob ueberschlagen muessen das an die 100 bis 400 mb in der minute sein

 

Schuß ins Blaue:

Eventuell hast du 'n Windows im VMWare laufen. Und Windows scheint genau wie KDE zu jedem Zeitpunkt 'n Sync zu machen, damit geöffnete Dokumente nach Abstürzen wieder hergestellt werden können. 

Warum komm ich darauf?

Ich hatte mal mein Homelaufwerk unter Reiser4 laufen. Reiser4 ist ein atomares Dateisystem. Das führt dazu, daß die Festplatte unter Reiser4 bei KDE, Vmware (mit Windows als Gastsystem) und diversen P2P-Programmen ständig unter Vollast am Rödeln ist. Der Rechner war dann kaum noch benutzbar. 

Wie kann man das abstellen?

Unter VMWare gibt's irgendwo die Option "Festplattenzugriffe durch Cachenutzung verringern" (oder so ähnlich, sitzt grad an 'ner Windowskiste). Da kannst du die Cachegröße einstellen. Damit ist VMWare zumindest bei mir wieder benutzbar geworden. Bei KDE kannst du das Verzeichnis ~/.kde/share der jeweiligen Benutzer in ein tmpfs packen.

----------

