Linux 取证135 条

登录记录缺口与异常检测

wtmp 的起止时间应与机器运行时长匹配；若记录只覆盖最近几天而主机已运行数月，说明文件被清空或重建过。

对照	last reboot 与 uptime
异常	时间倒流、记录过短、无重启行

对照

last reboot | head -5
uptime -s
utmpdump /var/log/wtmp | head -3

wtmp 被清空的常见原因是轮转配置错误或人为删除，两种结论要区分。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌