检测来自Linux应用程序的ssh/console的身份验证尝试

Question

有一项任务是从Linux C++应用程序中检测成功和不成功的登录尝试.最好的方法是什么？

我只发现了两种方法:1)通过超时检查/ var/logs/secure 2)在/ var/logs/secure上使用inotify

但是有一个问题,/ var/logs/secure中的两个或多个不成功的登录注册表看起来像"PAM 2更多身份验证失败",并且此字符串不会在登录失败的时刻出现.

Answer 1

在一个不错的系统上，/var/log/wtmp和/var/log/btmp是最好的检查位置。Glibc 提供了使其访问更容易的函数：getutxent、getutxid、getutxline等...

还要检查 的行为utmpdump -f /var/log/wtmp，它非常接近您想要的（解码 wtmp 并跟踪新事件）。