系统上的安全日志已满无法登陆系统怎么办

系统日志满到写不进去，系统系统结果连登录界面都进不去——这事我遇到过三次，安全每次都想砸键盘。日志第一次是已满在一台老旧的Windows Server 2008上，第二次是无法同事的笔记本，第三次是登陆台跑着Linux的工控机。症状都一样，系统系统开机转圈，安全然后弹个“安全日志已满”的日志提示，点确定就重启，已满循环往复。无法

别急着重装系统，登陆那是系统系统最笨的办法。Windows下有个歪招：重启时狂按F8，安全进“带命令行提示符的日志安全模式”。运气好能进去，然后敲net stop eventlog停掉日志服务，再删掉C:\Windows\System32\winevt\Logs\Security.evtx这个文件。删完重启，世界清净了。但注意，这招只对Windows有效，而且得看系统给不给你进安全模式的机会——有些机器日志满到连安全模式都进不去，那就麻烦了。

Linux那边简单粗暴。开机时在GRUB菜单按e，找到linux开头那行，末尾加init=/bin/bash，然后Ctrl+X启动。进去后挂载根分区为可写：mount -o remount,rw /，接着rm -f /var/log/*.log或者干脆truncate -s 0 /var/log/messages。搞定后reboot，正常进入。这方法我试过，管用，但有个坑——如果你用的是LVM分区或者磁盘加密，挂载那步会卡住，得先激活卷组或者输密码。

其实最气人的不是处理过程，而是事后复盘。为啥日志会满？多半是某个服务疯狂写错误记录，比如第三方杀毒软件和系统审计策略打架，或者硬盘坏道导致磁盘I/O报错刷屏。我遇到最离谱的一次，是某个网卡驱动在循环报“链路断开”，一秒钟写几十条，两天就把512MB的日志塞爆了。所以清完日志别急着走，去事件查看器里筛一下近几小时来源最频繁的记录，找到元凶，该禁用禁用，该更新驱动更新驱动。否则下周你还得再折腾一遍。

还有个冷门办法，适合Windows系统——用安装U盘启动，进入修复模式，打开命令提示符，用reg load加载离线注册表，把HKLM\SYSTEM\CurrentControlSet\Control\Lsa下的CrashOnAuditFail改成0。这个键值如果被设为1，日志满就直接蓝屏或拒绝登录，改成0就能让系统忽略满日志继续跑。不过这属于治标，而且改注册表有风险，非紧急情况我不推荐。

最后说句实在话：如果你没有专门的安全审计需求，把Windows的“审核登录事件”和“审核对象访问”策略关掉一部分。默认配置下那堆成功/失败记录没几个人会看，纯属占地方。把日志上限调大点，比如2GB，同时设置“按天数覆盖日志”，这样就算出问题也至少能撑几周。反正我现在给朋友修电脑，第一件事就是改这个设置，省得他们隔三差五找我清日志。