14

Il lastcomando può mostrare troppe righe di informazioni di accesso dell'utente, troncate da quando inizia "wtmp".

Se voglio ottenere quante più lastinformazioni possibili (ad esempio, per vedere se al mio sistema è stato effettuato l'accesso da un IP sconosciuto / sospetto utilizzando il mio nome utente), come posso visualizzare le "ultime" informazioni più vecchie?

Se uso last -2000, con l'intenzione di vedere 2000 righe di output, ma il comando potrebbe restituire solo poche righe, tutto ciò che è accaduto prima dell'inizio di "wtmp" verrebbe troncato.)

Mi chiedo in qualche modo se è possibile produrre quante più righe di informazioni di accesso possibili.

command-line

— pietra d'acqua
fonte

last -opotrebbe aiutare. La pagina man dice che legge i vecchi file wtmp. Ma sul mio sistema non fornisce molte informazioni. wtmp begins

— Tuttavia

1

è divertente. se hai più accessi dal 1970 di quelli mostrati nel tuo log, alcune impostazioni potrebbero non essere corrette.

— pietra d'acqua

17

Il lastcomando utilizza il file binario /var/log/wtmpper mostrare un elenco degli ultimi utenti che hanno effettuato l'accesso.

Ma /var/log/wtmpè un file ruotato in cui sono archiviate vecchie voci in /var/log/wtmp.xcui x è una cifra [0-9].

Quindi, se hai bisogno di approfondire la cronologia degli accessi, prova ad aprire uno di questi file:

last -2000 -f /var/log/wtmp.1 | less

— Sylvain Pineau
fonte

1

Per leggere la riga 2000 nel terminale è meglio passarlo a lesscome last -2000 -f /var/log/wtmp.1| less, +1 per una bella risposta

— souravc

Buona idea, grazie @souravc. Ho modificato la mia risposta.

— Sylvain Pineau,

Grazie mille! Ho notato che il file wtmp.1 è stato automaticamente decompresso nel file wtmp.1.gz, quindi l'ho decompresso e ho usato "last -f" per leggere, questo è esattamente ciò di cui avevo bisogno. Grazie mille. A proposito, il wtmp.1 sembra ancora troppo recente e ho solo il file wtmp1 (nessun altro file come wtmp2 ecc in / var / log), se voglio che il mio sistema memorizzi più informazioni, come posso cambiare l'impostazione di sistema predefinita per questo scopo?

— pietra d'acqua

Si prega di creare una nuova domanda per coprire quante rotazioni devono essere archiviate.

— Sylvain Pineau,

1

Se l'ultimo -f /var/log/wtmp.1non fornisce alcun output, ciò può essere dovuto, ad esempio, che la lunghezza del record è cambiata in una versione più recente.

Un'opzione semplice sarebbe quindi usare utmpdump invece:

utmpdump /var/log/wtmp.1  | less

Oh, e lesspuò essere qchiuso usando (da "quit" ;-))

— Kees
fonte

Ottieni i tuoi primi 10 punti in assoluto, 1 anno dopo!

— WinEunuuchs2Unix

0

Aggiornare

Entra

/var/log/wtmp.1

sono vincolati.

Ubuntu 16 e probabilmente 17 hanno il meccanismo di eliminare i log più vecchi di un mese. Per configurare questo comportamento è necessario modificare:

/etc/logrotate.conf

Ulteriori informazioni:

Accesso ai registri di avvio e spegnimento

— Daniel
fonte

Come leggere le informazioni di accesso meno recenti utilizzando il comando "last"?

Aggiornare