今天早上看到一篇關(guān)于服務器被破解當?shù)V機的文章。在文章里面看到作者通過lastb命令找到攻擊者的登錄歷史，覺得還是很厲害的，因此總結(jié)一下last和lastb相關(guān)的命令。
1、作用：
last命令用于顯示用戶最近登錄信息。單獨執(zhí)行l(wèi)ast命令，它會讀取/var/log/wtmp的文件，并把該給文件的內(nèi)容記錄的登入系統(tǒng)的用戶名單全部顯示出來。成功登錄的信息。
2、命令參數(shù)：
-a：把從何處登入系統(tǒng)的主機名稱或ip地址，顯示在最后一行；
-d：將IP地址轉(zhuǎn)換成主機名稱；
-f <記錄文件>：指定記錄文件。
-n <顯示列數(shù)>或-<顯示列數(shù)>：設置列出名單的顯示列數(shù)；
-R：不顯示登入系統(tǒng)的主機名稱或IP地址；
-x：顯示系統(tǒng)關(guān)機，重新開機，以及執(zhí)行等級的改變等信息。3、表現(xiàn)形式
4、解釋
wtmp,btmp,utmp均為二進制文件，不能用cat查看，可用last打開。
1、作用：
Linux%20lastb命令用于列出登入系統(tǒng)失敗的用戶相關(guān)信息。單獨執(zhí)行l(wèi)astb指令，它會讀取位于/var/log目錄下，名稱為btmp的文件linux命令，并把該文件內(nèi)容記錄的登入失敗的用戶名單，全部顯示出來。
2、參數(shù)
-a 把從何處登入系統(tǒng)的主機名稱或IP地址顯示在最后一行。
-d 將IP地址轉(zhuǎn)換成主機名稱。
-f<記錄文件> 指定記錄文件。
-n<顯示列數(shù)>或-<顯示列數(shù)> 設置列出名單的顯示列數(shù)。
-R 不顯示登入系統(tǒng)的主機名稱或IP地址。
-x 顯示系統(tǒng)關(guān)機，重新開機，以及執(zhí)行等級的改變等信息。3、linux下的主要日志文件
1. 進程日志(acct/pacct: 記錄用戶命令)
2. 錯誤日志(/var/log/messages:系統(tǒng)級信息；access-log:記錄HTTP/WEB的信息)
3. 連接日志(/var/log/wtmp,/var/log/btmp,/var/run/utmp)
>>>有關(guān)當前登錄用戶的信息記錄在文件utmp中;
>>>登錄進入和退出紀錄在文件wtmp中;
>>>最后一次登錄文件可以用lastlog命令察看;
>>>數(shù)據(jù)交換、關(guān)機和重起也記錄在wtmp文件中;既然可以用last等命令查看登錄成功的記錄linux命令，那么自然進入者方面也可以通過一些手段來清除這些記錄。
1、清除登錄成功信息
清除登陸系統(tǒng)成功的記錄
[root@localhost root]# echo > /var/log/wtmp //此文件默認打開時亂碼，可查到ip等信息
[root@localhost root]# last //此時即查不到用戶登錄信息2、清除登錄失敗的信息
清除登陸系統(tǒng)失敗的記錄
[root@localhost root]# echo > /var/log/btmp //此文件默認打開時亂碼，可查到登陸失敗信息
[root@localhost root]# lastb //查不到登陸失敗信息3、清除歷史執(zhí)行的命令
清除歷史執(zhí)行命令
[root@localhost root]# history -c //清空歷史執(zhí)行命令
[root@localhost root]# echo > ./.bash_history //或清空用戶目錄下的這個文件即可
下一個教程：復制命令 linux
