Linux登录历史查看方法大全

本文深入解析Linux系统中查看登录历史的核心方法与关键细节，全面覆盖last、lastlog和lastb三大命令的使用场景、参数技巧及底层原理：last读取/var/log/wtmp追踪完整成功登录流水，lastlog基于/var/log/lastlog快速定位用户最后一次登录（需root权限），而lastb则专用于审计失败登录尝试（源自/var/log/btmp）；文章不仅详解常用选项（如-a、-R、-t、-n）、时间范围筛选、实时监控技巧，更着重揭示三者数据源差异、日志生命周期限制（如wtmp循环覆盖、btmp可能未启用）及常见误操作陷阱，帮助运维和安全人员准确解读“空结果”背后的真实含义，真正提升系统审计与入侵排查的可靠性。

last 命令默认看的是谁、从哪、啥时候登的

直接敲 last，它读的是 /var/log/wtmp，显示所有成功登录过的用户，按时间倒序排——最新的一条在最上面。每行包含用户名、终端（如 pts/0）、来源 IP（远程 SSH 时才有）、登录时间、登出时间（或 still logged in），以及会话持续时间。

• IP 没显示？加 -a： last -a 把 IP 放在最后一列
• 不想看主机名（比如怕 DNS 解析慢或不准）？加 -R： last -R -a
• 某行末尾是 still logged in，说明那个 shell 进程还在跑，可能用户没 logout 就断连了
• wtmp 是循环覆盖的，旧记录会被新登录顶掉；如果 ls -lh /var/log/wtmp 显示大小为 0，要么没启用登录记录，要么日志文件损坏

查特定用户、最近几条、指定时间范围

查 root 最近 5 次登录：last -n 5 root；查某用户最后一次登录时间，用 lastlog -u username（注意：必须 root 权限）。

• 查“最近 7 天内有谁登过”：lastlog -t 7 —— 它不看时间线，只看每个用户最后一次登录是否落在该窗口内
• 查“从 20260301 开始的所有登录”：last -t 20260301 —— 注意格式必须是 YYYYMMDD，不能带横杠或斜杠
• last -b 7 是查“7 天前及更早”的登录，不是“过去 7 天”，容易反直觉
• 想实时盯住新登录？watch -n 5 'last -n 3' 每 5 秒刷一次最近 3 条，比反复敲命令省事

last 和 lastlog 的根本区别别搞混

last 看的是完整流水账（wtmp），lastlog 只存每个用户「最后一次」（/var/log/lastlog），按 UID 排序，不是按时间。

• 一个用户从来没登过：lastlog -u foo 显示 **Never logged in**；而 last foo 根本不会输出任何东西
• lastlog 必须 root 才能运行，普通用户执行会报 Permission denied
• last 能看到登出时间、持续时长；lastlog 只给时间戳，没有会话长度概念
• 安全审计时两者要配合看：last 查行为链路，lastlog 快速筛出长期未活跃账户

失败登录记录不在 last 里，得用 lastb

last 只记录成功登录，暴力破解、输错密码这些失败尝试全在 /var/log/btmp 里，得用 lastb 查。

• 运行 lastb 需要 root 权限，普通用户会提示 Permission denied
• 常见误操作：把 lastb 当成 last -b —— 后者是查“多少天前”的成功登录，完全不是一回事
• 如果 lastb 报错说 No such file or directory，说明系统没启用失败日志（部分容器或最小化安装默认关闭），需检查 faillog 配置或确认 btmp 是否存在
• 敏感操作建议搭配 grep 过滤，比如 lastb | grep '192.168.1.' 快速定位内网异常尝试

真正难的不是命令怎么敲，而是理解每条日志背后的数据源和生命周期：wtmp 会滚动覆盖，lastlog 不更新时间线，btmp 默认可能压根没开——不看清楚这些，查到的“空结果”很容易被当成“没人动过系统”。

今天关于《Linux登录历史查看方法大全》的内容介绍就到此结束，如果有什么疑问或者建议，可以在golang学习网公众号下多多回复交流；文中若有不正之处，也希望回复留言以告知！