一、檢視Linux系統的歷史記錄指令
1、 使用w命令檢視登入使用者正在使用的程序資訊
w命令用於顯示已經登入系統的使用者的名稱，以及他們正在做的事。該命令所使用的資訊來源於/var/run/utmp檔案。w命令輸出的資訊包括：
• 使用者名稱稱
• 使用者的機器名稱或tty號
• 遠端主機地址
• 使用者登入系統的時間
• 空閒時間（作用不大）
• 附加到tty（終端）的程序所用的時間（JCPU時間）
• 當前程序所用時間（PCPU時間）
• 使用者當前正在使用的命令
Exampl：

此外，可以使用who am i檢視使用該命令的使用者及程序，使用who檢視所有登入使用者程序資訊，這些檢視命令大同小異；

2、使用pkill強制退出登入的使用者
使用pkill可以結束當前登入使用者的程序，從而強制退出使用者登入，具體使用可以結合w命令；
首先：使用w檢視當前登入的使用者，注意TTY所示登入程序終端號
其次：使用pkill –9 -t pts/1 結束pts/1程序所對應使用者登入(可根據FROM的IP地址或主機號來判斷）

3、使用history指令檢視歷史使用者操作指令
使用完W指令檢視使用者的操作程序後，使用history指令可以看到以往的使用者操作指令。

History使用引數
[[email protected]]# history [n] **：數字,要列出最近的 n 筆命令列表
[

備註：
Linux系統當你在shell(控制檯)中輸入並執行命令時，shell會自動把你的命令記錄到歷史列表中，一般儲存在使用者目錄下的.bash_history檔案中。預設儲存1000條，你也可以更改這個值。
如果你鍵入 history, history會向你顯示你所使用的前1000個歷史命令，並且給它們編了號，你會看到一個用數字編號的列表快速從螢幕上捲過。你可能不需要檢視1000個命令中的所有專案, 當然你也可以加入數字來列出最近的 n 筆命令列表。
linux中history命令不僅僅讓我們可以查詢歷史命令而已. 我們還可以利用相關的功能來幫我們執行命令。

二、檢視所有登入使用者的操作歷史的程式碼
通過在/etc/profile裡面加入以下程式碼就可以實現：

**#this script records log of user,and records IP address .**
PS1="`whoami`@`hostname`:"'[$PWD]'
history
USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`
if [ "$USER_IP" = "" ]
then
USER_IP=`hostname`
fi
if [ ! -d /tmp/Iprecords ]
then
mkdir /tmp/Iprecords
chmod 777 /tmp/Iprecords
fi
if [ ! -d /tmp/Iprecords/${LOGNAME} ]
then
mkdir /tmp/Iprecords/${LOGNAME}
chmod 300 /tmp/Iprecords/${LOGNAME}
fi
export HISTSIZE=4096
DT=`date "+%Y-%m-%d_%H:%M:%S"`
export HISTFILE="/tmp/Iprecords/${LOGNAME}/${USER_IP} Iprecords.$DT"
chmod 600 /tmp/Iprecords/${LOGNAME}/*Iprecords* 2>/dev/null

[[email protected]]# source /etc/profile    ********執行指令碼

重啟之後，上面指令碼在系統的/tmp新建個Iprecords目錄，記錄所有登陸過系統的使用者和IP地址（檔名），每當使用者登入/退出會建立相應的檔案，該檔案儲存這段使用者登入時期內操作歷史，可以用這個方法來監測系統的安全性。