Linux 取证135 条

btmp 与 lastb 失败登录记录

btmp 记录失败登录尝试，lastb 读取汇总；结合来源 IP 与账号可区分扫描爆破与针对性口令猜测。

文件	/var/log/btmp（读取用 lastb）
用途	爆破规模与来源统计

统计来源

lastb -F | head -20
lastb | awk '{print $3}' | sort | uniq -c | sort -rn | head -10

btmp 权限为 600 root，普通用户读不到；采集时用 root 或加入 adm 组。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌