Linux 取证135 条

wtmp 记录顺序与时间字段的配合

wtmp 是追加写入的二进制记录，顺序本身携带信息：同一秒的多条登录/注销按写入顺序排列，可辅助区分并发操作。

读取	last -f /var/log/wtmp 或 utmpdump
顺序	文件内记录顺序 = 事件发生顺序（追加写）

查看顺序

last -f /var/log/wtmp | head -20
utmpdump /var/log/wtmp | tail -10

记录时间精度为秒，同秒事件靠顺序字段区分先后。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌