详解Linux last命令：显示用户登录历史

Linux的 last 命令是一个用于显示系统最近登录用户信息的命令，其作用主要有两个方面：一是查看当前系统登录的用户信息，二是用于审计分析，从而帮助管理员分析用户的登录情况、所执行的操作等信息。

命令格式

last [选项] [用户名]

选项说明：

• -d：显示实际时间而非默认的日历时间。
• -x：显示系统关机与启动时间。
• -f：显示指定日志文件的登录记录，如果不加该选项，则默认显示 /var/log/wtmp 文件中的用户登录信息。
• -i：忽略 IP 的主机名称的解析。
• -n：指定输出的列数，n 是数字。
• -t：指定显示的截止时间点，格式为 YYYYMMDDHHMMSS。

使用实例

1. 显示系统登录信息

last

# 输出示例
username  pts/2        192.168.1.1     Fri Sep  3 15:39   still logged in   
root      pts/1        192.168.1.1     Fri Sep  3 11:09   still logged in   
username  pts/0        192.168.1.1     Fri Sep  3 09:22   still logged in   
reboot    system boot  5.11.0-25-gener Fri Sep  3 09:21   still running    
username  pts/0        192.168.1.1     Thu Sep  2 14:34 - 15:24  (00:50)    
...

该命令将输出系统中最近登录的用户信息列表，包括用户名、登录终端、登录IP地址、登录时间等信息。如果用户仍在登录状态，则在最后一列会显示 still logged in。

1. 显示指定用户的登录信息

last username

# 输出示例
username      pts/2        192.168.1.1     Fri Sep  3 15:39   still logged in   
username      pts/0        192.168.1.1     Fri Sep  3 09:22   still logged in   
username      pts/0        192.168.1.1     Thu Sep  2 14:34 - 15:24  (00:50)    
...

该命令将输出指定用户的登录信息列表，包括登录终端、登录IP地址、登录时间等信息。默认情况下，该命令将输出指定用户在 /var/log/wtmp 文件中的登录信息。

通过上述两个示例，我们可以很清楚地发现 last 命令的作用和基本使用方法。值得注意的是，通过该命令只能查看系统中当前用户的登录信息，而不能查看已经退出系统的用户信息，如果需要查看更详细的登录信息可以使用类似于 auditd 的工具，能够记录更为详细的登录信息。