當(dāng)前位置 主頁 > 技術(shù)大全 >
其中，`last`命令以其獨(dú)特的功能和重要性，成為了我們窺探系統(tǒng)歷史活動(dòng)的寶貴窗口
本文將帶你深入探索`last`命令的奧秘，揭示它如何成為系統(tǒng)安全審計(jì)、故障排查和用戶行為分析不可或缺的工具
一、`last`命令初印象：時(shí)間的印記 `last`命令，顧名思義，用于顯示用戶登錄系統(tǒng)的歷史記錄
它讀取并解析`/var/log/wtmp`文件（在某些系統(tǒng)中可能是`/var/run/utmp`或類似路徑，但`wtmp`是更常見的記錄文件），該文件記錄了所有用戶的登錄、注銷以及系統(tǒng)重啟等信息
通過`last`命令，我們可以輕松地查看誰在什么時(shí)間登錄了系統(tǒng)，以及他們的會(huì)話持續(xù)了多久，這對(duì)于追蹤用戶活動(dòng)和系統(tǒng)使用情況至關(guān)重要
執(zhí)行`last`命令后，你通常會(huì)看到類似下面的輸出： username pts/0 192.168.1.100 Fri Oct 6 14:35 still logged in username pts/1 192.168.1.101 Thu Oct 5 17:22 - 18:15(00:5 reboot system boot 5.4.0-42-generic Fri Oct 6 14:00 - 14:59(00:5 username tty1 Thu Oct 5 08:01 - 08:05(00:0 每一行代表一條登錄記錄，包括用戶名、終端類型、源IP地址（如果適用）、登錄日期和時(shí)間、以及會(huì)話結(jié)束時(shí)間或當(dāng)前狀態(tài)（如“still logged in”）
這些信息為系統(tǒng)管理員提供了豐富的上下文，用于分析用戶行為、識(shí)別潛在的安全威脅或診斷系統(tǒng)問題
二、深入解析：`last`命令的細(xì)節(jié)之美 1.用戶名：顯示登錄用戶的用戶名
如果是系統(tǒng)重啟或關(guān)機(jī)事件，則顯示為`reboot`或`shutdown`
2.終端/偽終端：指示用戶登錄時(shí)使用的終端類型
例如，`pts/0`表示第一個(gè)偽終端，常見于圖形界面的SSH登錄；`tty1`至`tty6`則是系統(tǒng)默認(rèn)的文本終端
3.源IP地址：對(duì)于遠(yuǎn)程登錄（如SSH），會(huì)顯示用戶的源IP地址
這對(duì)于識(shí)別非法訪問嘗試非常有用
4.登錄/注銷時(shí)間：記錄用戶登錄和注銷的具體時(shí)間
如果會(huì)話仍在進(jìn)行中，則顯示“still logged in”
5.會(huì)話時(shí)長：顯示用戶會(huì)話的持續(xù)時(shí)間，格式為（小時(shí):分鐘）
三、`last`命令的高級(jí)用法：解鎖更多潛能 `last`命令不僅僅是一個(gè)簡單的查看工具，它還支持多種選項(xiàng)和參數(shù)，允許用戶根據(jù)需要定制輸出，進(jìn)行更深入的分析
- -a：顯示主機(jī)的啟動(dòng)和關(guān)閉時(shí)間，這對(duì)于了解系統(tǒng)維護(hù)窗口或分析系統(tǒng)穩(wěn)定性非常有幫助
- -F：顯示文件的文件名及其內(nèi)容，這對(duì)于驗(yàn)證`wtmp`文件的完整性或排查日志記錄問題很有用
- -i：忽略IP地址字段，使輸出更加簡潔，特別是在不需要遠(yuǎn)程登錄信息時(shí)
- -n 例如，`last -n 5`只顯示最近的5條記錄
- -R：不解析主機(jī)名，直接顯示IP地址 這在DNS解析存在問題時(shí)特別有用
- -t
