Linux 服务器被入侵分析排查全攻略

了解Linux系统中的登录历史对于每一位系统管理员来说都是非常重要的。这不仅帮助我们确认用户是否在预期的时间内成功登录，还能让我们注意到任何不寻常的行为，从而及时发现并解决可能存在的安全问题。

在这篇文章里，我们将一起探索如何有效地检查和分析Linux系统的登录历史，希望能为您的日常管理工作提供一些有用的技巧和支持。

一、查看系统登录历史的工具

Linux系统提供了几种命令和工具来查看登录历史。这些工具的使用可以帮助管理员快速识别是否存在不正常的登录行为。

1. last 命令

last 命令用于显示系统上所有用户的登录历史，包括登录时间、持续时间、IP 地址等信息。它读取 /var/log/wtmp 文件，该文件存储了系统的所有登录和注销事件。

使用方法：

复制

last

该命令将列出系统所有的登录记录，按时间倒序排列。你会看到类似如下的信息：

复制

root     pts/1        112.97.47.32     Mon Aug 19 17:14 - 17:38  (00:23)
root     pts/0        112.97.47.32     Mon Aug 19 16:23 - 17:38  (01:15)

2. lastb 命令

lastb 命令用于查看系统上的登录失败记录。它读取 /var/log/btmp 文件，该文件记录了所有失败的登录尝试。

使用方法：

复制

lastb