| last | 成功登录（读取 wtmp） |
|---|---|
| lastb | 失败登录（读取 btmp） |
| lastlog | 每个账号最近一次登录 |
| 权限 | root 看全量 |
三个维度一起看
三个维度一起看
last -aiF | head -n 30
lastb -aiF | head -n 30
lastlog | grep -v 'Never logged in' | head -n 30last -F 显示完整时间戳，-a 把来源 IP 挪到最后一列，便于肉眼扫描。
本包目录（168 条）
应急流程与准备24 条进程与连接排查25 条
账号与后门排查23 条
- SSH 授权公钥全盘排查
- 登录历史 last 与 lastb 与 lastlog 三件套
- 检查 /etc/passwd 中的 UID 0 账号
- Shell 历史排查（bash_history 取证）
- sudoers 提权配置排查
- sshd_config 后门与降险配置检查
- 按时间定位可疑 Web 文件
- Webshell 特征关键字扫描
- Windows 本地账号排查（net user 与 Get-LocalUser）
- 检查 /etc/shadow 空口令与锁定状态
- SUID 与 SGID 文件排查
- 排查近期新增账号与家目录
- 当前在线会话核查（w 与 who 与 loginctl）
- Windows 管理员组成员核查
- 公钥指纹比对与注释识别
- 可疑账号处置：先禁用后删除
- PAM 后门检查（pam_unix 模块被替换）
- 不可变属性（chattr +i）与删不掉的文件
- HISTFILE 与命令历史隐藏手法
- Linux capabilities 提权点排查
- 检查 ~/.ssh/rc 与 sshrc 登录钩子
- 检查 /etc/skel 模板注入
- 用 getent 检查跨库账号一致性
登录历史 last 与 lastb 与 lastlog 三件套
三个维度看登录：last 看成功、lastb 看失败、lastlog 看每个账号最近一次。攻击者的登录时间与来源 IP 最先在这里暴露。
易错点
- 只看 last 不看 lastb：爆破未遂的踪迹全在 btmp
- wtmp 为空就放心：先查文件大小与修改时间再下结论
数据来源与参考
- last(1) 与 lastlog(8) 手册
- utmpx(5) 文件格式