查看服务器用户登陆情况
时间:2016-06-06 14:42 来源:linux.it.net.cn 作者:IT
1.使用w显示当前登陆系统的用户，包括非法用户。
语法：w [-fhlsuV][用户名称]
linux w 命令补充说明：执行这项指令可得知目前登入系统的用户有那些人，以及他们正在执行的程序。单独执行linux w 命令会显示所有的用户，您也可指定用户名称，仅显示某位用户的相关信息。
命令参数：
-f 开启或关闭显示用户从何处登入系统。
-h 不显示各栏位的标题信息列。
-l 使用详细格式列表，此为预设值。
-s 使用简洁格式列表，不显示用户登入时间，终端机阶段作业和程序所耗费的CPU时间。
-u 忽略执行程序的名称，以及该程序耗费CPU时间的信息。
-V 显示版本信息。
以上是linux w 命令详解。（摘自http://os.51cto.com/art/200908/144244.htm）
2.使用last显示目前与过去登入系统的用户相关信息
1.作用
功能说明：列出目前与过去登入系统的用户相关信息。
linux系统中last命令的作用是显示近期用户或终端的登录情况，它的使用权限是所有用户。通过last命令查看该程序的log，管理员可以获知谁曾经或企图连接系统。
2.格式
last [—R] [—n][－f file][－t tty] [—h 节点][－I —IP][—1][－y][ID]
3.主要参数
- R: 省略 hostname 的栏位
－n：指定输出记录的条数。
－f file：指定用文件file作为查询用的log文件。
－t tty：只显示指定的虚拟控制台上登录情况。
－h 节点：只显示指定的节点上的登录情况。
－i IP：只显示指定的IP上登录的情况。
－1：用IP来显示远端地址。
－y：显示记录的年、月、日。
－ID：知道查询的用户名。
－x:显示系统关闭、用户登录和退出的历史。
范例：
＝＝＝＝＝＝＝＝linux环境： Fedora Core 6.0；内核：2.6.18＝＝＝＝＝＝＝＝
#last用了显示用户登录情况。以下是直接显示固定行数的记录。sunson是新建的用户。
#last用了显示用户登录情况。以下是直接显示固定行数的记录。sunson是新建的用户。
[sunson@localhost ~]$ last -6
sunson pts/2 :0.0 Thu Jul 26 20:48 still logged in
sunson pts/2 :0.0 Thu Jul 26 20:21 - 20:21 (00:00)
sunson :0 Thu Jul 26 20:21 still logged in
reboot system boot 2.6.18-1.2798.fc Thu Jul 26 20:20 (00:41)
sunson pts/2 :0.0 Thu Jul 26 11:16 - 11:46 (00:30)
sunson pts/2 :0.0 Thu Jul 26 10:18 - 10:18 (00:00)
wtmp begins Sun Jul 1 15:17:08 2007
#默认是显示wtmp的记录，btmp能显示的更详细，可以显示远程登录，例如ssh登录。
[root@localhost ~]# last -n 15 -f /var/log/btmp
sunson :0 Thu Jul 26 20:21 still logged in
keox tty1 Fri Jul 20 22:27 gone - no logout
np962e76 tty1 Fri Jul 20 22:26 - 22:27 (00:00)
keox tty1 Fri Jul 20 22:26 - 22:26 (00:00)
root :0 Fri Jul 20 22:22 - 20:21 (5+21:58)
keox :0 Fri Jul 20 22:22 - 22:22 (00:00)
root tty1 Fri Jul 20 20:58 - 22:26 (01:28)
keox tty1 Fri Jul 20 20:58 - 20:58 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:58 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:57 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:57 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:57 (00:00)
reboot tty1 Fri Jul 20 20:55 - 20:57 (00:02)
root tty1 Fri Jul 20 20:54 - 20:55 (00:00)
root tty1 Fri Jul 20 20:54 - 20:54 (00:00)
btmp begins Mon Apr 30 22:05:54 2007
#显示特定tty口的登录，1是tty1的登录情况，看的很清楚的。 np962e76 和 lkdjflkj 和keox其实都没有登
#录成功，我是把密码忘记了。前面两个用户，是根本不存在的，但是也有记录。
[root@localhost ~]# last -n 15 -f /var/log/btmp 1
keox tty1 Fri Jul 20 22:27 gone - no logout
np962e76 tty1 Fri Jul 20 22:26 - 22:27 (00:00)
keox tty1 Fri Jul 20 22:26 - 22:26 (00:00)
root tty1 Fri Jul 20 20:58 - 22:26 (01:28)
keox tty1 Fri Jul 20 20:58 - 20:58 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:58 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:57 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:57 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:57 (00:00)
reboot tty1 Fri Jul 20 20:55 - 20:57 (00:02)
root tty1 Fri Jul 20 20:54 - 20:55 (00:00)
root tty1 Fri Jul 20 20:54 - 20:54 (00:00)
root tty1 Fri Jul 20 20:54 - 20:54 (00:00)
lkdjflkj tty1 Fri Jul 20 20:54 - 20:54 (00:00)
keox tty1 Fri Jul 20 20:53 - 20:54 (00:00)
btmp begins Mon Apr 30 22:05:54 2007
#显示特定用户的登录情况。
[root@localhost ~]# last -n 15 -f /var/log/btmp keox
keox tty1 Fri Jul 20 22:27 gone - no logout
keox tty1 Fri Jul 20 22:26 - 22:26 (00:00)
keox :0 Fri Jul 20 22:22 - 22:22 (00:00)
keox tty1 Fri Jul 20 20:58 - 20:58 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:58 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:57 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:57 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:57 (00:00)
keox tty1 Fri Jul 20 20:53 - 20:54 (00:00)
keox tty1 Fri Jul 20 20:53 - 20:53 (00:00)
keox tty1 Fri Jul 20 20:53 - 20:53 (00:00)
keox tty1 Fri Jul 20 20:53 - 20:53 (00:00)
keox tty1 Fri Jul 20 20:52 - 20:53 (00:00)
keox tty1 Fri Jul 20 20:52 - 20:52 (00:00)
keox tty1 Fri Jul 20 20:52 - 20:52 (00:00)
btmp begins Mon Apr 30 22:05:54 2007
#显示登录登出的记录，-x。
[root@localhost ~]# last -n 15 -f /var/log/btmp keox -x
keox tty1 Fri Jul 20 22:27 gone - no logout
keox tty1 Fri Jul 20 22:26 - 22:26 (00:00)
keox :0 Fri Jul 20 22:22 - 22:22 (00:00)
keox tty1 Fri Jul 20 20:58 - 20:58 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:58 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:57 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:57 (00:00)
keox tty1 Fri Jul 20 20:57 - 20:57 (00:00)
keox tty1 Fri Jul 20 20:53 - 20:54 (00:00)
keox tty1 Fri Jul 20 20:53 - 20:53 (00:00)
keox tty1 Fri Jul 20 20:53 - 20:53 (00:00)
keox tty1 Fri Jul 20 20:53 - 20:53 (00:00)
keox tty1 Fri Jul 20 20:52 - 20:53 (00:00)
keox tty1 Fri Jul 20 20:52 - 20:52 (00:00)
keox tty1 Fri Jul 20 20:52 - 20:52 (00:00)
btmp begins Mon Apr 30 22:05:54 2007
#-i显示特定ip登录的情况。跟踪用。
[root@localhost ~]# last -n 15 -i 127.0.0.1 -f /var/log/btmp keox
keox tty1 0.0.0.0 Fri Jul 20 22:27 gone - no logout
keox tty1 0.0.0.0 Fri Jul 20 22:26 - 22:26 (00:00)
keox :0 0.0.0.0 Fri Jul 20 22:22 - 22:22 (00:00)
keox tty1 0.0.0.0 Fri Jul 20 20:58 - 20:58 (00:00)
keox tty1 0.0.0.0 Fri Jul 20 20:57 - 20:58 (00:00)
keox tty1 0.0.0.0 Fri Jul 20 20:57 - 20:57 (00:00)
keox tty1 0.0.0.0 Fri Jul 20 20:57 - 20:57 (00:00)
keox tty1 0.0.0.0 Fri Jul 20 20:57 - 20:57 (00:00)
keox tty1 0.0.0.0 Fri Jul 20 20:53 - 20:54 (00:00)
keox tty1 0.0.0.0 Fri Jul 20 20:53 - 20:53 (00:00)
keox tty1 0.0.0.0 Fri Jul 20 20:53 - 20:53 (00:00)
keox tty1 0.0.0.0 Fri Jul 20 20:53 - 20:53 (00:00)
keox tty1 0.0.0.0 Fri Jul 20 20:52 - 20:53 (00:00)
keox tty1 0.0.0.0 Fri Jul 20 20:52 - 20:52 (00:00)
keox tty1 0.0.0.0 Fri Jul 20 20:52 - 20:52 (00:00)
btmp begins Mon Apr 30 22:05:54 2007
4.提示:
#/var/log/wtmp
/var/log/wtmp文件是二进制文件,该日志文件永久记录每个用户登录、注销及系统的启动、停机的事件。因此随着系统正常运行时间的增加，该文件的大小也会越来越大，增加的速度取决于系统用户登录的次数。该日志文件可以用来查看用户的登录记录，last命令就通过访问这个文件获得这些信息，并以反序从后向前显示用户的登录记录，last也能根据用户、终端 tty或时间显示相应的记录。（来源http://linux.jboke.com/type112/art3/rl4.html）
3.分析日志
进入/var/log/目录下查看相关日志信息
网上帖子说查看secure文件，我这里没有，查看了auth.log后发现有一个来自韩国的可疑ip一直尝试登陆，虽然具体看不懂，但是一直显示很多此ip的Failed password 信息。
4.查询IP地址：
推荐
http://www.gongju.com/
http://tool.chinaz.com/
(责任编辑：IT)
| 1.使用w显示当前登陆系统的用户，包括非法用户。 语法：w [-fhlsuV][用户名称] linux w 命令补充说明：执行这项指令可得知目前登入系统的用户有那些人，以及他们正在执行的程序。单独执行linux w 命令会显示所有的用户，您也可指定用户名称，仅显示某位用户的相关信息。 命令参数： -f 开启或关闭显示用户从何处登入系统。 -h 不显示各栏位的标题信息列。 -l 使用详细格式列表，此为预设值。 -s 使用简洁格式列表，不显示用户登入时间，终端机阶段作业和程序所耗费的CPU时间。 -u 忽略执行程序的名称，以及该程序耗费CPU时间的信息。 -V 显示版本信息。 以上是linux w 命令详解。（摘自http://os.51cto.com/art/200908/144244.htm） 2.使用last显示目前与过去登入系统的用户相关信息 1.作用 功能说明：列出目前与过去登入系统的用户相关信息。 linux系统中last命令的作用是显示近期用户或终端的登录情况，它的使用权限是所有用户。通过last命令查看该程序的log，管理员可以获知谁曾经或企图连接系统。 2.格式 last [—R] [—n][－f file][－t tty] [—h 节点][－I —IP][—1][－y][ID] 3.主要参数 - R: 省略 hostname 的栏位 －n：指定输出记录的条数。 －f file：指定用文件file作为查询用的log文件。 －t tty：只显示指定的虚拟控制台上登录情况。 －h 节点：只显示指定的节点上的登录情况。 －i IP：只显示指定的IP上登录的情况。 －1：用IP来显示远端地址。 －y：显示记录的年、月、日。 －ID：知道查询的用户名。 －x:显示系统关闭、用户登录和退出的历史。 范例： ＝＝＝＝＝＝＝＝linux环境： Fedora Core 6.0；内核：2.6.18＝＝＝＝＝＝＝＝ #last用了显示用户登录情况。以下是直接显示固定行数的记录。sunson是新建的用户。 #last用了显示用户登录情况。以下是直接显示固定行数的记录。sunson是新建的用户。 [sunson@localhost ~]$ last -6 sunson pts/2 :0.0 Thu Jul 26 20:48 still logged in sunson pts/2 :0.0 Thu Jul 26 20:21 - 20:21 (00:00) sunson :0 Thu Jul 26 20:21 still logged in reboot system boot 2.6.18-1.2798.fc Thu Jul 26 20:20 (00:41) sunson pts/2 :0.0 Thu Jul 26 11:16 - 11:46 (00:30) sunson pts/2 :0.0 Thu Jul 26 10:18 - 10:18 (00:00) wtmp begins Sun Jul 1 15:17:08 2007 #默认是显示wtmp的记录，btmp能显示的更详细，可以显示远程登录，例如ssh登录。 [root@localhost ~]# last -n 15 -f /var/log/btmp sunson :0 Thu Jul 26 20:21 still logged in keox tty1 Fri Jul 20 22:27 gone - no logout np962e76 tty1 Fri Jul 20 22:26 - 22:27 (00:00) keox tty1 Fri Jul 20 22:26 - 22:26 (00:00) root :0 Fri Jul 20 22:22 - 20:21 (5+21:58) keox :0 Fri Jul 20 22:22 - 22:22 (00:00) root tty1 Fri Jul 20 20:58 - 22:26 (01:28) keox tty1 Fri Jul 20 20:58 - 20:58 (00:00) keox tty1 Fri Jul 20 20:57 - 20:58 (00:00) keox tty1 Fri Jul 20 20:57 - 20:57 (00:00) keox tty1 Fri Jul 20 20:57 - 20:57 (00:00) keox tty1 Fri Jul 20 20:57 - 20:57 (00:00) reboot tty1 Fri Jul 20 20:55 - 20:57 (00:02) root tty1 Fri Jul 20 20:54 - 20:55 (00:00) root tty1 Fri Jul 20 20:54 - 20:54 (00:00) btmp begins Mon Apr 30 22:05:54 2007 #显示特定tty口的登录，1是tty1的登录情况，看的很清楚的。 np962e76 和 lkdjflkj 和keox其实都没有登 #录成功，我是把密码忘记了。前面两个用户，是根本不存在的，但是也有记录。 [root@localhost ~]# last -n 15 -f /var/log/btmp 1 keox tty1 Fri Jul 20 22:27 gone - no logout np962e76 tty1 Fri Jul 20 22:26 - 22:27 (00:00) keox tty1 Fri Jul 20 22:26 - 22:26 (00:00) root tty1 Fri Jul 20 20:58 - 22:26 (01:28) keox tty1 Fri Jul 20 20:58 - 20:58 (00:00) keox tty1 Fri Jul 20 20:57 - 20:58 (00:00) keox tty1 Fri Jul 20 20:57 - 20:57 (00:00) keox tty1 Fri Jul 20 20:57 - 20:57 (00:00) keox tty1 Fri Jul 20 20:57 - 20:57 (00:00) reboot tty1 Fri Jul 20 20:55 - 20:57 (00:02) root tty1 Fri Jul 20 20:54 - 20:55 (00:00) root tty1 Fri Jul 20 20:54 - 20:54 (00:00) root tty1 Fri Jul 20 20:54 - 20:54 (00:00) lkdjflkj tty1 Fri Jul 20 20:54 - 20:54 (00:00) keox tty1 Fri Jul 20 20:53 - 20:54 (00:00) btmp begins Mon Apr 30 22:05:54 2007 #显示特定用户的登录情况。 [root@localhost ~]# last -n 15 -f /var/log/btmp keox keox tty1 Fri Jul 20 22:27 gone - no logout keox tty1 Fri Jul 20 22:26 - 22:26 (00:00) keox :0 Fri Jul 20 22:22 - 22:22 (00:00) keox tty1 Fri Jul 20 20:58 - 20:58 (00:00) keox tty1 Fri Jul 20 20:57 - 20:58 (00:00) keox tty1 Fri Jul 20 20:57 - 20:57 (00:00) keox tty1 Fri Jul 20 20:57 - 20:57 (00:00) keox tty1 Fri Jul 20 20:57 - 20:57 (00:00) keox tty1 Fri Jul 20 20:53 - 20:54 (00:00) keox tty1 Fri Jul 20 20:53 - 20:53 (00:00) keox tty1 Fri Jul 20 20:53 - 20:53 (00:00) keox tty1 Fri Jul 20 20:53 - 20:53 (00:00) keox tty1 Fri Jul 20 20:52 - 20:53 (00:00) keox tty1 Fri Jul 20 20:52 - 20:52 (00:00) keox tty1 Fri Jul 20 20:52 - 20:52 (00:00) btmp begins Mon Apr 30 22:05:54 2007 #显示登录登出的记录，-x。 [root@localhost ~]# last -n 15 -f /var/log/btmp keox -x keox tty1 Fri Jul 20 22:27 gone - no logout keox tty1 Fri Jul 20 22:26 - 22:26 (00:00) keox :0 Fri Jul 20 22:22 - 22:22 (00:00) keox tty1 Fri Jul 20 20:58 - 20:58 (00:00) keox tty1 Fri Jul 20 20:57 - 20:58 (00:00) keox tty1 Fri Jul 20 20:57 - 20:57 (00:00) keox tty1 Fri Jul 20 20:57 - 20:57 (00:00) keox tty1 Fri Jul 20 20:57 - 20:57 (00:00) keox tty1 Fri Jul 20 20:53 - 20:54 (00:00) keox tty1 Fri Jul 20 20:53 - 20:53 (00:00) keox tty1 Fri Jul 20 20:53 - 20:53 (00:00) keox tty1 Fri Jul 20 20:53 - 20:53 (00:00) keox tty1 Fri Jul 20 20:52 - 20:53 (00:00) keox tty1 Fri Jul 20 20:52 - 20:52 (00:00) keox tty1 Fri Jul 20 20:52 - 20:52 (00:00) btmp begins Mon Apr 30 22:05:54 2007 #-i显示特定ip登录的情况。跟踪用。 [root@localhost ~]# last -n 15 -i 127.0.0.1 -f /var/log/btmp keox keox tty1 0.0.0.0 Fri Jul 20 22:27 gone - no logout keox tty1 0.0.0.0 Fri Jul 20 22:26 - 22:26 (00:00) keox :0 0.0.0.0 Fri Jul 20 22:22 - 22:22 (00:00) keox tty1 0.0.0.0 Fri Jul 20 20:58 - 20:58 (00:00) keox tty1 0.0.0.0 Fri Jul 20 20:57 - 20:58 (00:00) keox tty1 0.0.0.0 Fri Jul 20 20:57 - 20:57 (00:00) keox tty1 0.0.0.0 Fri Jul 20 20:57 - 20:57 (00:00) keox tty1 0.0.0.0 Fri Jul 20 20:57 - 20:57 (00:00) keox tty1 0.0.0.0 Fri Jul 20 20:53 - 20:54 (00:00) keox tty1 0.0.0.0 Fri Jul 20 20:53 - 20:53 (00:00) keox tty1 0.0.0.0 Fri Jul 20 20:53 - 20:53 (00:00) keox tty1 0.0.0.0 Fri Jul 20 20:53 - 20:53 (00:00) keox tty1 0.0.0.0 Fri Jul 20 20:52 - 20:53 (00:00) keox tty1 0.0.0.0 Fri Jul 20 20:52 - 20:52 (00:00) keox tty1 0.0.0.0 Fri Jul 20 20:52 - 20:52 (00:00) btmp begins Mon Apr 30 22:05:54 2007 4.提示: #/var/log/wtmp /var/log/wtmp文件是二进制文件,该日志文件永久记录每个用户登录、注销及系统的启动、停机的事件。因此随着系统正常运行时间的增加，该文件的大小也会越来越大，增加的速度取决于系统用户登录的次数。该日志文件可以用来查看用户的登录记录，last命令就通过访问这个文件获得这些信息，并以反序从后向前显示用户的登录记录，last也能根据用户、终端 tty或时间显示相应的记录。（来源http://linux.jboke.com/type112/art3/rl4.html） 3.分析日志 进入/var/log/目录下查看相关日志信息 网上帖子说查看secure文件，我这里没有，查看了auth.log后发现有一个来自韩国的可疑ip一直尝试登陆，虽然具体看不懂，但是一直显示很多此ip的Failed password 信息。 4.查询IP地址： 推荐 http://www.gongju.com/ http://tool.chinaz.com/ (责任编辑：IT) |