| 落盘 | dmesg -T > dmesg.txt（存证据目录并记哈希） |
|---|---|
| 互补 | journalctl -k 可按时间窗回溯历史 |
示例
示例
dmesg -T | tail -50
dmesg -T > /evidence/dmesg.txt && sha256sum /evidence/dmesg.txt环形缓冲有容量上限，历史内容会被新日志覆盖，现场需及时落盘。
dmesg 输出解读与现场留取
取证现场先将 dmesg 完整落盘：写入证据目录并记录文件哈希，-T 输出人可读时间便于时间线比对，与 journalctl -k 的历史日志互补使用。
易错点
- -T 显示的是本地时区时间，跨主机合并时统一换算 UTC
- 缓冲溢出后早期记录不可得，需与 journalctl -k 互补
数据来源与参考
- man 1 dmesg（util-linux）