| 文件 | /var/log/lastlog（稀疏文件） |
|---|---|
| 命令 | lastlog / lastlog -t 7 |
示例
示例
lastlog | grep -v 'Never logged in'
lastlog -t 7 -u root显示从未登录的账号突然出现交互式会话，值得优先核查。
lastlog 账号最近登录时间
lastlog 读取 /var/log/lastlog，列出每个账号最近一次登录的时间与来源，用于发现长期活跃的可疑账号或长期未用的正常账号。
易错点
- lastlog 只记最后一次，不体现会话次数与时长
- ssh 非交互命令也可能更新记录，解读时结合 auth.log
数据来源与参考
- man 8 lastlog（shadow-utils）