如何使用“last”命令读取旧的登录信息？

Question

该last命令可能显示的用户登录信息行太少，在“wtmp 开始”时被截断。

如果我想获得尽可能多的last信息（例如，查看是否使用我的用户名从任何未知/可疑 IP 访问我的系统），我如何输出旧的“最后”信息？

如果我使用last -2000，打算查看 2000 行输出，但该命令可能只返回几行，则在“wtmp 开始”之前发生的任何事情都将被截断。）

只是想知道是否可以输出尽可能多的登录信息行。

Answer 1

该last命令使用二进制文件/var/log/wtmp显示上次登录用户的列表。

但是/var/log/wtmp是一个旋转文件，其中旧条目存档到/var/log/wtmp.x其中 x 是一个 digit [0-9]。

因此，如果您需要更深入地查看登录历史记录，请尝试打开以下文件之一：

last -2000 -f /var/log/wtmp.1 | less

Answer 2

如果最后一个-f /var/log/wtmp.1没有给出任何输出，这可能是因为例如记录长度在新版本中已更改。

一个简单的选择是使用 utmpdump 代替：

utmpdump /var/log/wtmp.1  | less

哦，less可以使用q（来自“quit”;-)）退出