Linux服务器登录日志查看全攻略：3种必学方法

一、last命令：最快捷的登录记录查询

last命令是检查登录历史最简单直接的工具，它会读取/var/log/wtmp文件中的二进制数据。

# 基本用法
last
last -n 10  # 显示最近10条记录
last username  # 查看特定用户的登录记录

输出解析： 每行记录包含用户名、终端类型、登录IP、登录时间、登出时间等信息。特别要注意"still logged in"标记表示当前活跃会话。

二、/var/log/secure：最详细的认证日志

对于RHEL/CentOS系统，安全认证日志主要保存在：

/var/log/secure

对于Debian/Ubuntu系统，则查看：

/var/log/auth.log

实用分析技巧：

1. 使用grep过滤SSH登录记录：grep "sshd" /var/log/secure
2. 查找失败登录尝试：grep "Failed" /var/log/secure
3. 实时监控新登录：tail -f /var/log/secure

三、lastb命令：识别暴力破解尝试

lastb专门用于显示失败的登录尝试，数据来源于/var/log/btmp文件。

lastb
lastb -n 20  # 显示最近20条失败记录

安全建议： 频繁出现的重复IP地址可能表明暴力破解攻击，应及时使用iptables或fail2ban进行封禁。

进阶技巧：日志分析与告警

1. 统计登录次数：

last | awk '{print $1}' | sort | uniq -c | sort -n

2. 创建登录时间报告：

last | grep -v "reboot" | awk '{print $4,$5,$6,$7}' | sort | uniq -c

3. 设置登录告警： 可通过logwatch或自定义脚本监控异常登录模式。

常见问题解答

Q: 日志文件被轮换了怎么办？

A: 检查/var/log/secure.1等压缩归档文件，或使用logrotate配置查看历史日志。

Q: 如何永久保存登录记录？

A: 修改/etc/logrotate.conf配置，延长日志保留周期。

Q: 为什么有些登录记录显示为pts/0？

A: 这表示是通过SSH建立的伪终端连接，属于正常远程登录。