如何使用Linux中的‘last’命令来查看系统登录历史？

last命令详解

last 命令是 Unix/Linux 系统中用于显示用户登录信息的命令，它从系统的日志文件中读取数据，并按照时间顺序显示用户的登录和登出记录，这些日志文件通常位于/var/log/wtmp 中，通过使用last 命令，管理员可以监控谁在何时登录了系统，以及他们的活动持续时间等详细信息。

基本语法

last [选项] [用户名]

选项：用于指定不同的过滤条件或输出格式。

用户名：可选参数，指定要查询特定用户的登录记录，如果不提供此参数，则显示所有用户的登录记录。

常用选项

-a：显示所有列（包括主机名）。

-f 文件名：从指定的文件读取登录信息，而不是默认的/var/log/wtmp。

-n 数量：只显示最近的数量 条记录。

-R：以反向顺序显示记录（最新的在前）。

-x：显示系统关闭事件。

-F：显示完整的登录名。

-i：忽略主机名中的域名部分。

-t YYYYMMDDHHMM：仅显示在此时间之后的记录。

示例

基本用法

last

该命令将显示所有用户的登录记录，包括登录时间、会话持续时间、终端类型等。

显示特定用户的登录记录

last user1

这将只显示名为user1 的用户的所有登录记录。

显示最近的10条记录

last -n 10

此命令将仅显示最近的10条登录记录。

反向显示记录

last -R

使用此选项，最新的记录会首先显示。

从特定文件读取记录

last -f /var/log/wtmp.1

如果需要从备份的日志文件中读取登录信息，可以使用此命令。

显示系统关闭事件

last -x

这将显示系统重启或关机的时间点。

输出解释

以下是last 命令的典型输出示例及其各列的含义：

username   pts/0        192.168.1.100    Wed Oct  4 10:00   still logged in
username   pts/1        192.168.1.101    Tue Sep 30 09:00 10:00  (01:00)
reboot      system boot  5.4.0-74-generic Tue Sep 30 08:00   still running
shutdown    system down  5.4.0-74-generic Tue Sep 30 07:59 08:00  (00:01)

第一列：用户名或事件名称（如reboot,shutdown）。

第二列：终端类型或会话ID。

第三列：远程主机的IP地址或主机名。

第四列：登录日期和时间。

第五列：登出日期和时间（如果有的话）；如果是当前活跃的会话，则显示为still logged in。

第六列：会话持续时间（对于已结束的会话）。

相关FAQs

Q1: 如何更改last 命令使用的日志文件路径？

A1: 你可以通过使用-f 选项来指定一个不同的日志文件路径，如果你想从/var/log/wtmp.1 文件中读取登录信息，可以使用以下命令：

last -f /var/log/wtmp.1

如果你希望永久更改last 命令使用的日志文件路径，你需要修改系统的配置文件，但这通常不是推荐的做法，因为它可能会影响其他依赖于默认日志位置的服务和工具，更好的做法是创建一个别名或脚本来简化这一过程。

Q2: 如何过滤特定时间段内的登录记录？

A2: 你可以使用-t 选项来指定一个起始时间点，从而过滤出在该时间之后的所有登录记录，要查看自2023年1月1日以来的所有登录记录，你可以使用以下命令：

last -t 202301010000

这里202301010000 表示2023年1月1日凌晨0点的时间戳，如果你想进一步限制到某个结束时间之前，你可能需要结合其他工具如grep 来实现更复杂的过滤逻辑。

各位小伙伴们，我刚刚为大家分享了有关“last命令”的知识，希望对你们有所帮助。如果您还有其他相关问题需要解决，欢迎随时提出哦！