linux 管理小命令8—— 用户登陆查看

11、inux lastb命令详解 功能说明：列出登入系统失败的用户相关信息。 语　　法：lastb [-adRx][-f <记录文件>][-n<显示列数>][帐号名称...][终端机编号...] 补充说明：单独执行lastb指令，它会读取位于/var/log目录下，名称为btmp的文件，并把该文件内容记录的登入失败的用户名单，全部显示出来。 参　　数：-a 　把从何处登入系统的主机名称或IP地址显示在最后一行。-d 　将IP地址转换成主机名称。-f<记录文件> 　指定记录文件。-n<显示列数>或-<显示列数>　设置列出名单的显示列数。-R 　不显示登入系统的主机名称或IP地址。-x 　显示系统关机，重新开机，以及执行等级的改变等信息。 2、linux last命令详解 功能说明：列出目前与过去登入系统的用户相关信息。 语　　法：last [-adRx][-f <记录文件>][-n<显示列数>][帐号名称...][终端机编号...] 补充说明：单独执行last指令，它会读取位于/var/log目录下，名称为wtmp的文件，并把该给文件的内容记录的登入系统的用户名单全部显示出来。 参　　数：-a 　把从何处登入系统的主机名称或IP地址，显示在最后一行。-d 　将IP地址转换成主机名称。-f <记录文件> 　指定记录文件。-n <显示列数>或-<显示列数>　设置列出名单的显示列数。-R 　不显示登入系统的主机名称或IP地址。-x 　显示系统关机，重新开机，以及执行等级的改变等信息。ＱＱ2919113203、lastlog：lastlog文件在每次有用户登录时被查询。可以使用lastlog命令来检查某特定用户上次登录的时间，并格式化输出上次登录日志/var/log/lastlog的内容。它根据UID排序显示登录名、端口号（tty）和上次登录时间。如果一个用户从未登录过，lastlog显示"**Never logged**。 1、有关当前登录用户的信息记录在文件utmp中；======who命令 2、登录进入和退出纪录在文件wtmp中；========w命令 3、最后一次登录文件可以用lastlog命令察看； 4、messages======从syslog中记录信息 注意：wtmp和utmp文件都是二进制文件，他们不能被诸如tail命令剪贴或合并（使用cat命令）。用户 需要使用who、w、users、last和ac来使用这两个文件包含的信息。 例子：last命令往回搜索wtmp来显示自从文件第一次创建以来登录过的用户 users用单独的一行打印出当前登录的用户，每个显示的用户名对应一个登录会话 w命令查询utmp文件并显示当前系统中每个用户和它所运行的进程信息 who命令查询utmp文件并报告当前登录的每个用户 ac命令根据当前的/var/log/wtmp文件中的登录进入和退出来报告用户连结的时间（小时） utmp文件，它记录当前登录进系统的各个用户； 包含下列结构的一个二进制记录写入这两个文件中：struct utmp {char ut_line[8]; /* tty line: "ttyh0","ttyd0", "ttyp0", ... */char ut_name[8]; /* login name */long ut_time; /* seconds since Epoch */}; 登录时，login程序填写这样一个结构，然后将其写入到utmp文件中，同时也将其添写到wtmp文件中。注销时， init进程将utmp文件中相应的记录擦除(每个字节都填以0 )，并将一个新记录添写到wtmp文件中。读wtmp文件中的该注销记录，其ut_name字段清除为0。在系统再启动时，以及更改系统时间和日期的前后，都在wtmp文件中添写特殊的记录项。who( 1 )程序读utmp文件，并以可读格式打印其内容。后来的Unix版本提供last( 1 )命令，它读wtmp文件并打印所选择的记录。wtmp文件，它跟踪各个登录和注销事件。 wtedwtmp/utmp日志编辑程序。你可以使用这个工具编辑所有wtmp或者utmp类型的文件。 z2utmp/wtmp/lastlog日志清理工具。可以删除utmp/wtmp/lastlog日志文件中有关某个用户名的所有条目。不过，如果用于Linux系统需要手工修改其源代码，设置日志文件的位置。last用了显示用户登录情况。以下是直接显示固定行数的记录。kkk是新建的用户。
[kkk@localhost ~]$ last -6
kkk pts/2 :0.0 Thu Jul 26 20:48 still logged in
kkk pts/2 :0.0 Thu Jul 26 20:21 - 20:21 (00:00)
kkk :0 Thu Jul 26 20:21 still logged in
reboot system boot 2.6.18-1.2798.fc Thu Jul 26 20:20 (00:41)
kkk pts/2 :0.0 Thu Jul 26 11:16 - 11:46 (00:30)
kkk pts/2 :0.0 Thu Jul 26 10:18 - 10:18 (00:00)

wtmp begins Sun Jul 1 15:17:08 2007

默认是显示wtmp的记录，btmp能显示的更详细，可以显示远程登录，例如ssh登录。
[root@localhost ~]# last -n 15 -f /var/log/btmp
kkk :0 Thu Jul 26 20:21 still logged in
klot tty1 Fri Jul 20 22:27 gone - no logout
np962e76 tty1 Fri Jul 20 22:26 - 22:27 (00:00)
klot tty1 Fri Jul 20 22:26 - 22:26 (00:00)
root :0 Fri Jul 20 22:22 - 20:21 (5+21:58)
klot :0 Fri Jul 20 22:22 - 22:22 (00:00)
root tty1 Fri Jul 20 20:58 - 22:26 (01:28)
klot tty1 Fri Jul 20 20:58 - 20:58 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:58 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:57 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:57 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:57 (00:00)
reboot tty1 Fri Jul 20 20:55 - 20:57 (00:02)
root tty1 Fri Jul 20 20:54 - 20:55 (00:00)
root tty1 Fri Jul 20 20:54 - 20:54 (00:00)
btmp begins Mon Apr 30 22:05:54 2007
显示特定tty口的登录，1是tty1的登录情况，看的很清楚的。 np962e76 和 lkdjflkj 和klot其实都没有登录成功，我是把密码忘记了。前面两个用户，是根本不存在的，但是也有记录。
[root@localhost ~]# last -n 15 -f /var/log/btmp 1
klot tty1 Fri Jul 20 22:27 gone - no logout
np962e76 tty1 Fri Jul 20 22:26 - 22:27 (00:00)
klot tty1 Fri Jul 20 22:26 - 22:26 (00:00)
root tty1 Fri Jul 20 20:58 - 22:26 (01:28)
klot tty1 Fri Jul 20 20:58 - 20:58 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:58 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:57 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:57 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:57 (00:00)
reboot tty1 Fri Jul 20 20:55 - 20:57 (00:02)
root tty1 Fri Jul 20 20:54 - 20:55 (00:00)
root tty1 Fri Jul 20 20:54 - 20:54 (00:00)
root tty1 Fri Jul 20 20:54 - 20:54 (00:00)
lkdjflkj tty1 Fri Jul 20 20:54 - 20:54 (00:00)
klot tty1 Fri Jul 20 20:53 - 20:54 (00:00)

btmp begins Mon Apr 30 22:05:54 2007
显示特定用户的登录情况。
[root@localhost ~]# last -n 15 -f /var/log/btmp klot
klot tty1 Fri Jul 20 22:27 gone - no logout
klot tty1 Fri Jul 20 22:26 - 22:26 (00:00)
klot :0 Fri Jul 20 22:22 - 22:22 (00:00)
klot tty1 Fri Jul 20 20:58 - 20:58 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:58 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:57 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:57 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:57 (00:00)
klot tty1 Fri Jul 20 20:53 - 20:54 (00:00)
klot tty1 Fri Jul 20 20:53 - 20:53 (00:00)
klot tty1 Fri Jul 20 20:53 - 20:53 (00:00)
klot tty1 Fri Jul 20 20:53 - 20:53 (00:00)
klot tty1 Fri Jul 20 20:52 - 20:53 (00:00)
klot tty1 Fri Jul 20 20:52 - 20:52 (00:00)
klot tty1 Fri Jul 20 20:52 - 20:52 (00:00)

btmp begins Mon Apr 30 22:05:54 2007
显示登录登出的记录，-x。
[root@localhost ~]# last -n 15 -f /var/log/btmp klot -x
klot tty1 Fri Jul 20 22:27 gone - no logout
klot tty1 Fri Jul 20 22:26 - 22:26 (00:00)
klot :0 Fri Jul 20 22:22 - 22:22 (00:00)
klot tty1 Fri Jul 20 20:58 - 20:58 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:58 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:57 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:57 (00:00)
klot tty1 Fri Jul 20 20:57 - 20:57 (00:00)
klot tty1 Fri Jul 20 20:53 - 20:54 (00:00)
klot tty1 Fri Jul 20 20:53 - 20:53 (00:00)
klot tty1 Fri Jul 20 20:53 - 20:53 (00:00)
klot tty1 Fri Jul 20 20:53 - 20:53 (00:00)
klot tty1 Fri Jul 20 20:52 - 20:53 (00:00)
klot tty1 Fri Jul 20 20:52 - 20:52 (00:00)
klot tty1 Fri Jul 20 20:52 - 20:52 (00:00)

btmp begins Mon Apr 30 22:05:54 2007
-i显示特定ip登录的情况。跟踪用。
[root@localhost ~]# last -n 15 -i 127.0.0.1 -f /var/log/btmp klot
klot tty1 0.0.0.0 Fri Jul 20 22:27 gone - no logout
klot tty1 0.0.0.0 Fri Jul 20 22:26 - 22:26 (00:00)
klot :0 0.0.0.0 Fri Jul 20 22:22 - 22:22 (00:00)
klot tty1 0.0.0.0 Fri Jul 20 20:58 - 20:58 (00:00)
klot tty1 0.0.0.0 Fri Jul 20 20:57 - 20:58 (00:00)
klot tty1 0.0.0.0 Fri Jul 20 20:57 - 20:57 (00:00)
klot tty1 0.0.0.0 Fri Jul 20 20:57 - 20:57 (00:00)
klot tty1 0.0.0.0 Fri Jul 20 20:57 - 20:57 (00:00)
klot tty1 0.0.0.0 Fri Jul 20 20:53 - 20:54 (00:00)
klot tty1 0.0.0.0 Fri Jul 20 20:53 - 20:53 (00:00)
klot tty1 0.0.0.0 Fri Jul 20 20:53 - 20:53 (00:00)
klot tty1 0.0.0.0 Fri Jul 20 20:53 - 20:53 (00:00)
klot tty1 0.0.0.0 Fri Jul 20 20:52 - 20:53 (00:00)
klot tty1 0.0.0.0 Fri Jul 20 20:52 - 20:52 (00:00)
klot tty1 0.0.0.0 Fri Jul 20 20:52 - 20:52 (00:00)

btmp begins Mon Apr 30 22:05:54 2007