如何获取Linux系统用户登录记录

用户登录的信息通常记录在/var/run/utmp、/var/log/wtmp、/var/log/btmp、/var/log/lastlog等文件中。

通过who、w和users等命令查询当前登录用户的信息。

通过last和ac命令通过查询当前与过去登录系统的用户的信息。

通过lastb命令通过查询所有登录系统失败的用户的信息。

通过lastlog命令通过查询用户最后一次登录的信息。

相关命令功能与返回结果如下所示。

who命令显示当前登录用户的信息，返回结果类似如下。

# who
root     pts/0        2019-11-20 20:04 (***.***.***.***)

w命令显示当前登录用户的用户名并显示该用户当前执行的任务，返回结果类似如下。

# w
 20:31:33 up 19 days,  2:40,  1 user,  load average: 0.00, 0.01, 0.05
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
root     pts/0    ***.***.***.***   20:04    5.00s  0.02s  0.00s w

users命令显示当前登录的用户的用户名，返回结果类似如下。

# users
root

last命令显示当前与过去登录系统的用户的信息，返回结果类似如下。

# last
root     pts/0        ***.***.***.***   Wed Nov 20 20:04   still logged in   
root     pts/0        ***.***.***.***  Tue Nov 19 14:51 - 16:46  (01:55)    
root     pts/1        ***.***.***.***   Mon Nov 18 15:01 - 20:59  (05:57)    
root     pts/0        ***.***.***.***  Mon Nov 18 15:01 - 20:59  (05:58)    
root     pts/0        ***.***.***.***   Thu Nov 14 20:05 - 14:49 (1+18:44)   
root     pts/1        ***.***.***.***   Tue Nov 12 09:50 - 16:39 (2+06:49)   
root     pts/0        ***.***.***.***  Tue Nov 12 09:50 - 16:39 (2+06:49)

lastlog命令显示用户最后一次登录的信息，返回结果类似如下。

# lastlog
Username         Port     From             Latest
root             pts/0    ***.***.***.***   Wed Nov 20 20:04:11 +0800 2019
bin                                        **Never logged in**
daemon                                     **Never logged in**
adm                                        **Never logged in**
lp                                         **Never logged in**
sync                                       **Never logged in**
shutdown                                   **Never logged in**

可在secure文件查看登录记录，返回结果类似如下。

#cat /var/log/secureu 
Jun  9 08:42:10 iZ25bvxoe7qZ sshd[21418]: Accepted password for root from XXX.XXX.XXX.XXX port 32907 ssh2
Jun  9 08:42:10 iZ25bvxoe7qZ sshd[21418]: pam_unix(sshd:session): session opened for user root by (uid=0)
Jun  9 08:42:10 iZ25bvxoe7qZ sshd[21420]: Accepted password for root from XXX.XXX.XXX.XXX port 33969 ssh2
Jun  9 08:42:10 iZ25bvxoe7qZ sshd[21420]: pam_unix(sshd:session): session opened for user root by (uid=0)
Jun  9 08:42:10 iZ25bvxoe7qZ sshd[21420]: subsystem request for sftp by user root