| 一侧 | last -F（含来源主机） |
|---|---|
| 另一侧 | auth.log 的 Accepted 行 |
对齐
对齐
last -F | head -10
grep -E 'Accepted (password|publickey)' /var/log/auth.log | tail -10若 wtmp 有登录记录而认证日志缺失对应行，说明日志链路存在缺口或清理。
wtmp 与认证日志联合核对
last 输出与会话日志按时间对齐，可验证两端记录是否一致：登录时刻、来源主机与终端号都是对齐的锚点。
易错点
- last 的时间精度到分钟，秒级对齐需借助 utmpdump 原始输出
- 记录被轮转或清空会让两侧条数不匹配，需先确认日志完整性
数据来源与参考
- util-linux 手册（last(1)）
- OpenSSH 手册（sshd 日志）