一、为什么要查看登录记录？

查看Linux云服务器登录记录对于系统安全和管理至关重要：

• 安全审计：发现异常登录行为
• 故障排查：分析系统问题发生时间点
• 责任追踪：明确操作人员及其操作时间
• 合规要求：满足企业安全审计规范

二、7种查看登录记录的方法

1. 使用last命令

last命令是最常用的查看登录记录的工具：

last
last -n 10  # 查看最近10条记录
last -x    # 显示关机/重启记录

输出内容包括：用户名、登录终端、来源IP、登录时间、持续时间等。

2. 查看/var/log/wtmp文件

last命令实际读取的是/var/log/wtmp文件：

utmpdump /var/log/wtmp

此文件记录所有成功登录会话。

3. 检查/var/log/btmp文件

记录失败的登录尝试：

lastb
lastb -n 5

4. 查看/var/log/secure

此文件记录认证相关的详细信息：

grep "Accepted password" /var/log/secure
grep "Failed password" /var/log/secure

5. 使用who命令

查看当前登录用户：

who
w

6. 检查auth.log

在Debian/Ubuntu系统中：

cat /var/log/auth.log | grep sshd

7. 使用journalctl

对于使用systemd的系统：

journalctl -u sshd --no-pager

三、高级技巧

1. 日志轮转处理

Linux系统会自动轮转日志文件，可使用以下命令查看历史日志：

zcat /var/log/secure-20231001.gz | grep sshd

2. 实时监控登录

使用tail命令实时监控：

tail -f /var/log/secure

3. 日志分析脚本

编写简单脚本统计登录情况：

#!/bin/bash
echo "成功登录次数:"
grep "Accepted" /var/log/secure | wc -l
echo "失败登录尝试:"
grep "Failed" /var/log/secure | wc -l

四、安全建议

• 定期检查登录记录
• 设置登录告警
• 限制root远程登录
• 使用SSH密钥认证
• 配置fail2ban防护