Linux last与lastb命令使用方法

last命令查看正常登录记录，读取/var/log/wtmp文件；lastb命令查看失败登录尝试，读取/var/log/btmp文件，二者用于监控用户登录行为和排查安全问题。

Linux 中的 last 和 lastb 命令用于查看系统的登录记录，帮助系统管理员追踪用户登录行为和排查安全问题。这两个命令读取不同的日志文件，提供互补的信息。

last 命令：查看正常登录记录

last 命令用于显示用户最近的登录和登出记录，数据来源于 /var/log/wtmp 文件。

基本用法：

• last：显示所有用户的登录历史，包括用户名、终端、IP 地址、登录时间、登出时间和会话时长。
• last username：仅显示指定用户的登录记录，例如 last root 可查看 root 用户的登录情况。
• last -n 10 或 last | head -10：限制输出前 10 条记录。
• last reboot：查看系统重启的历史时间点。
• last shutdown：查看系统关机记录（如果系统正确记录了关机事件）。

输出字段说明：

Creatext AI

专为销售人员提供的 AI 咨询辅助工具

39

查看详情

• 用户名：登录的账户名，如 root、user1。
• 终端：登录所使用的终端或伪终端，如 pts/0、tty1。
• 来源 IP 或主机名：远程登录的来源地址，本地登录显示为 :0 或 localhost。
• 登录时间：会话开始的时间。
• 登出时间：会话结束时间，若仍在登录中则显示 "still logged in"。
• 持续时间：本次会话的时长。

lastb 命令：查看失败登录尝试

lastb 命令用于显示失败的登录尝试，数据来源于 /var/log/btmp 文件，常用于发现暴力破解或异常登录行为。

基本用法：

• lastb：列出所有失败的登录记录，包括用户名、终端、来源和时间。
• lastb username：查看特定用户登录失败的情况，例如 lastb root 可检查针对 root 账户的爆破尝试。
• lastb -n 10：只显示最近 10 条失败记录。

注意：/var/log/btmp 文件默认存在但可能为空，只有发生登录失败时才会被写入。该文件不自动轮转，长期运行可能导致体积过大，建议定期清理或配置日志轮转。

实用技巧与注意事项

• 两个命令都支持翻页查看，输出过多时会自动进入分页模式（类似 more 或 less）。
• 若想清空 btmp 记录，可使用 sudo > /var/log/btmp（谨慎操作）。
• wtmp 和 btmp 都是二进制文件，不能用 cat 直接阅读，必须通过 last 和 lastb 解析。
• 远程登录（如 SSH）失败记录会被 lastb 捕获，结合 fail2ban 等工具可实现自动封禁。
• 确保日志文件权限正确，避免未授权访问，/var/log/btmp 通常只有 root 可读。

以上就是Linux last与lastb命令使用方法的详细内容，更多请关注php中文网其它相关文章！