Linux取证与反取证之系统日志文件

系统日志是Linux系统中最重要的日志记录类型之一，用于记录重要的系统活动和事件，如系统启动、关闭和用户登录，通常存储在/var/log目录下。

常见的系统日志文件有：
/var/log/messages
记录内核信息和各种应用程序日志，包括启动、IO错误、网络错误和应用程序自定义日志。

/var/log/audit/audit.log
记录系统内核、内核、用户进程的行为事件，是Linux安全体系的重要部分。比message记录更详细的信息，可以查看文件权限、监控系统调用、记录用户指令、记录系统安全事件、监控网络访问等。

/var/log/syslog
记录系统内核和系统服务的信息,包括各种事件通知或消息。

/var/log/secure
记录系统安全信息，只要涉及到需要账号密码的操作，不管成功与否都会记录。例如用户认证、sudo使用情况等。

/var/log/auth.log
Ubuntu系统中记录用户认证和授权信息,对标/var/log/secure文件。

/var/log/wtmp
记录每个用户登入登出、系统启动、关机等事件，该文件无法直接打开查看，可使用last命令查看文件信息。当用户登录时，登录程序会检查lastlog中用户的UID，如果存在，则将用户上次登录和注销时间以及主机名输出显示，同时在lastlog中记录新的登录时间和新的登录记录，并将用户的登录记录添加到wtmp中。

/var/run/utmp
记录当前登录的用户信息，文件不能直接打开查看，可通过命令w查看。
当用户退出时，更新 wtmp 记录。最后在 utmp 日志中删除该用户对应的登陆记录

/var/log/btmp
记录登录失败的用户信息、时间及远程ip，通过lastb命令查看内容。

/var/log/lastlog
记录最后一次登录的时间、IP等信息，用lastlog命令查看，会根据UID排序显示。