linux取证——查看用户登录日志

一、用户登录日志文件

/var/log/ 记录了全部服务的登陆的文件或错误信息文件 ，其中lastlog、secure、wtmp、lastlog四个文件存储了用户相关登录日志

/var/run/文件夹中存放了自系统启动以来描述系统信息的文件，其中utmp文件中存储了用户相关登录信息

1 /var/log/secure

安全和身份日志，记录用户和工作组变化情况、用户登陆认证情况 ，可以查看ssh登录的情况 。

• 使用cat命令查看

2 /var/log/lastlog

记录用户最后一次成功登陆的时间、登陆IP等信息

• 二进制文件，使用cat命令查看出现乱码