首页/系统/Linux 运维命令速查/last 查看登录历史

last 查看登录历史

last 读取 wtmp 展示用户登录/注销与来源 IP、时长;安全排查(谁在什么时候登过)与容量核对都要用。

Linux 运维命令速查系统更新于 2026-10-12
用途查看历史登录会话记录
语法last [选项] [用户] [tty]
所属util-linux(w/who/last 家族)

常用示例

常用示例
last -n 20
last deploy
last -i | head           # 显示来源 IP 而非主机名
last reboot              # 重启历史
lastlog                  # 每个用户最近一次登录
失败登录(bad password)也在 lastb 里;wtmp 轮转后历史有限,长期审计要看集中日志。

易错点

  • wtmp 被清空或轮转后 last 显示空,不代表没人登录过;攻击者常抹 wtmp/btmp 掩盖痕迹
  • 容器/跳板机环境 last 记录的是内层会话,真实来源要看网关或 SSH 日志

数据来源与参考

  • man 1 last(util-linux)
  • man 5 wtmp

相关工具

​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌