Linux查看用户登陆历史记录(last命令的使用)

查看某用户的操作历史

 

    cat  /home/username/.bash_history

 

 

使用root登陆使用last -x可查看用户登陆历史。

　　last 命令：


　　功能说明：列出目前与过去登入系统的用户相关信息。


　　语 法：last [-adRx][-f ][-n ][帐号名称…][终端机编号…]


　　补充说明：单独执行last指令，它会读取位于/var/log目录下，


　　名称为wtmp的文件，并把该给文件的内容记录的登入系统的用户名单全部显示出来。


　　参 数：


　　-a 把从何处登入系统的主机名称或IP地址，显示在最后一行。


　　-d 将IP地址转换成主机名称。


　　-f 指定记录文件。


　　-n 或- 设置列出名单的显示列数。


　　-R 不显示登入系统的主机名称或IP地址。


　　-x 显示系统关机，重新开机，以及执行等级的改变等信息。

 

 

 

　　lastlog可简单查看所有用户最后一次的登陆时间

 

 

 

 

命令：  last -A

root     pts/4        172.16.0.241     Fri Nov 13 16:11   still logged in   
root     pts/4        172.16.0.241     Thu Nov 12 22:56 - 23:00  (00:03)    
root     pts/4        172.16.0.241     Thu Nov 12 21:36 - 21:37  (00:00)    
root     pts/3       <span style="color:#ff0000;background-color: rgb(255, 255, 204);"> </span></strong><span style="color:#ff0000;background-color: rgb(255, 255, 204);">172.16.0.239 </span><strong><span style="color:#ff0000;background-color: rgb(255, 255, 204);">  </span>  Thu Nov 12 09:40   still logged in   
root     pts/3        172.16.1.2       Tue Oct 27 14:55 - 14:55  (00:00)    
root     pts/0        <span style="color:#ff6666;">172.16.0.239</span>     Tue Oct 27 14:28   still logged in   
root     pts/0        172.16.1.2       Tue Oct 27 11:02 - 11:02  (00:00)    
root     pts/0        172.16.1.2       Fri Oct 23 22:03 - 22:03  (00:00)    
root     pts/0        172.16.1.2       Fri Oct 23 21:58 - 21:58  (00:00)    
root     pts/0        172.16.1.2       Fri Oct 23 21:55 - 21:55  (00:00)    
root     pts/0        172.16.1.2       Fri Oct 23 21:51 - 21:51  (00:00)    
<span style="color:#ff0000;background-color: rgb(255, 255, 204);">root     pts/2        172.16.0.239     Fri Oct 23 21:42   still logged in   </span>
root     pts/2        172.16.1.2       Wed Oct 21 17:01 - 17:01  (00:00)    
root     pts/2        172.16.1.2       Wed Oct 21 16:59 - 16:59  (00:00)    
root     pts/2        172.16.0.239     Fri Sep 25 15:04 - 15:05  (00:01)    
root     pts/1        172.16.0.239     Fri Sep 25 15:04   still logged in   
root     pts/0        172.16.0.239     Thu Sep 24 13:53 - 21:42 (29+07:48)  
<span style="color:#ff0000;">runlevel (to lvl 5)   2.6.32-504.8.1.e Thu Jul 16 19:42 - 16:12 (119+20:29) </span>
<span style="color:#ff0000;">reboot   system boot  2.6.32-504.8.1.e Thu Jul 16 19:42 - 16:12 (119+20:29) </span>
root     pts/1        172.16.0.239     Mon Jun 15 11:38 - 11:39  (00:00)    
root     pts/2        172.16.0.239     Mon May 25 16:04 - 01:12 (19+09:07) 

 

 

 

 

代码:

[root@servicel02 ~]# last reboot
reboot   system boot  2.6.18-194.el5   Fri Oct  8 18:48         (277+23:46) 
reboot   system boot  2.6.18-194.el5   Fri Oct  8 18:27          (00:19)    
reboot   system boot  2.6.18-194.el5   Fri Oct  8 18:01          (00:21)    
reboot   system boot  2.6.18-194.el5   Fri Oct  8 17:18          (00:40)    
reboot   system boot  2.6.18-194.el5   Fri Oct  8 16:42          (00:33)   
reboot   system boot  2.6.18-194.el5   Fri Sep 17 11:30         (21+05:01)  
reboot   system boot  2.6.18-194.el5   Wed Sep 15 11:11         (2+00:16)   
reboot   system boot  2.6.18-194.el5   Wed Sep 15 11:02          (00:06)    
reboot   system boot  2.6.18-194.el5   Wed Sep 15 10:52          (00:08)    
reboot   system boot  2.6.18-194.el5   Wed Sep 15 10:44          (00:05)    

wtmp begins Wed Sep 15 10:44:24 2010

 

这么多reboot信息，不过别着急仔细看一下就明白了。咱们从后往前说
最后一行
wtmp begins Wed Sep 15 10:44:24 2010
这是说/var/log/wtmp这个文件是在2010年9月15日周三上午10：44：24这个时间点生成的，一般来说这就是装系统的时候了。
在这以后频繁重启了4次时间就到了Fri Sep 17 11:30     (21+05:01)，干啥来的呢。。。。估计是安装一些软件或服务吧～反正是没少折腾。。。。

从   Fri Oct 8 16:42    (00:33)这个时间点开始又频繁重启了4次，最后上线前再测试一些极端情况，。。。。呵呵中间为啥将近1个月都没reboot呢？新机器烤一烤嘛～～～别拆了包装就让人家上岗，给它20天的磨合期。

经过了之前的N多考验，终于决定让他投入战斗了！这服务器还算是比较给力，注意看第一行
reboot   system boot  2.6.18-194.el5   Fri Oct  8 18:48         (277+23:46) 
这说明从去年10月8日18：48分到现在，他已经连续战斗了将近278天了。。。。多么好的员工啊～要是让我连续上班278我早挂了。。。。
最后咱们用uptime命令来验证一下

 

代码:

uptime 
18:49:25 up 278 days, 1 min,  1 user,  load average: 0.07, 0.02, 0.00

呵呵278天零1分钟了。。。。。。希望他继续保持战斗状态！

应该明白了吧～～别怕last里的reboot多，主要看第一行的最后那个数字。写个简单的正则命令就明白了

代码:

last reboot -1 |awk '{print $NF}'
(278+00:02)

2010

怎么样，大家都来秀一下last reboot -1 |awk '{print $NF}' 啊哈哈～～～～～