Linux 取证135 条

wtmp 与 last 登录历史

wtmp 以二进制记录每次登录、登出与重启，last 将其还原为时间线；-F 显示完整时间，-x 带上重启与运行级别切换。

文件	/var/log/wtmp（读取用 last）
要点	登录登出与重启的长期记录，通常比 auth.log 保留更久

常用命令

last -Fai | head -30
last -x reboot
last -f /var/log/wtmp.1 -F | tail -20

wtmp 被清空或时间跳变，本身就是需要记录的可疑现象。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌