如何在wtmp开始之前找到谁登录

Question

我试图确定谁最近登录了我办公室的特定机器。所以我使用了last，但是 wtmp 从昨天（星期一）14:30 左右开始。我希望找到至少可以追溯到周日的信息。有没有办法在不通过授权日志文件的情况下获取该信息？

Answer 1

大概您的 wtmp 文件已被旋转，因此请尝试last -f /var/log/wtmp.1或last -f /var/log/wtmp.0阅读以前的文件。如果这些不起作用，ls /var/log/wtmp*看看它们是否被称为其他东西。如果它们被压缩（.gz扩展），解压它们。

如果他们不在那里，找到谁设置了胡说八道的轮换计划，并给他们一个坚实的脚踢马裤。没有理由不保留至少几周的wtmp日志。