一、背景

      今天早上看到一篇關於伺服器被破解當礦機的文章。在文章裡面看到作者通過lastb命令找到攻擊者的登入歷史，覺得還是很厲害的，因此總結一下last和lastb相關的命令。

二、last命令

1、作用：

      last命令用於顯示使用者最近登入資訊。單獨執行last命令，它會讀取/var/log/wtmp的檔案，並把該給檔案的內容記錄的登入系統的使用者名稱單全部顯示出來。成功登入的資訊。

2、命令引數：

-a：把從何處登入系統的主機名稱或ip地址，顯示在最後一行；
-d：將IP地址轉換成主機名稱；
-f <記錄檔案>：指定記錄檔案。
-n <顯示列數>或-<顯示列數>：設定列出名單的顯示列數；
 
-R：不顯示登入系統的主機名稱或IP地址；
-x：顯示系統關機，重新開機，以及執行等級的改變等資訊。

3、表現形式

4、解釋

   第一列：使用者名稱

           第二列：終端位置

           第三列：登入ip或者核心

           第四列：開始時間

           第五列：結束時間（still login in 還未退出  down 直到正常關機 crash 直到強制關機）

           第六列：持續時間

wtmp,btmp,utmp均為二進位制檔案，不能用cat檢視，可用last開啟。

二、lastb命令

1、作用：

      Linux lastb命令用於列出登入系統失敗的使用者相關資訊。單獨執行lastb指令，它會讀取位於/var/log目錄下，名稱為btmp的檔案，並把該檔案內容記錄的登入失敗

2、引數

-a 　把從何處登入系統的主機名稱或IP地址顯示在最後一行。
-d 　將IP地址轉換成主機名稱。
-f<記錄檔案> 　指定記錄檔案。
-n<顯示列數>或-<顯示列數> 　設定列出名單的顯示列數。
-R 　不顯示登入系統的主機名稱或IP地址。
-x 　顯示系統關機，重新開機，以及執行等級的改變等資訊。

3、linux下的主要日誌檔案

1. 程序日誌(acct/pacct: 記錄使用者命令)
2. 錯誤日誌(/var/log/messages:系統級資訊；access-log:記錄HTTP/WEB的資訊)
3. 連線日誌(/var
 
/log/wtmp,/var/log/btmp,/var/run/utmp)
>>>有關當前登入使用者的資訊記錄在檔案utmp中;
>>>登入進入和退出紀錄在檔案wtmp中;
>>>最後一次登入檔案可以用lastlog命令察看;
>>>資料交換、關機和重起也記錄在wtmp檔案中;

三、如何清除使用者的登入資訊

既然可以用last等命令檢視登入成功的記錄，那麼自然進入者方面也可以通過一些手段來清除這些記錄。

1、清除登入成功資訊

清除登陸系統成功的記錄
[root@localhost root]# echo > /var/log/wtmp //此檔案預設開啟時亂碼，可查到ip等資訊
[root@localhost root]# last //此時即查不到使用者登入資訊

2、清除登入失敗的資訊

清除登陸系統失敗的記錄
[root@localhost root]# echo > /var/log/btmp //此檔案預設開啟時亂碼，可查到登陸失敗資訊
[root@localhost root]# lastb //查不到登陸失敗資訊

3、清除歷史執行的命令

清除歷史執行命令
[root@localhost root]# history -c //清空歷史執行命令
[root@localhost root]# echo > ./.bash_history //或清空使用者目錄下的這個檔案即可

4、匯入空的歷史命令檔案

匯入空歷史記錄
[root@localhost root]# vi /root/history //新建記錄檔案
[root@localhost root]# history -c //清除記錄 
[root@localhost root]# history -r /root/history.txt //匯入記錄 
[root@localhost root]# history //查詢匯入結果

      伺服器安全方面也是日常開發的重中之重。希望能好好學習這塊，雖然現在還沒遇到攻擊，但誰也保不準以後會怎樣。記錄一下。

end