問題：因為某專案組在同一個伺服器上都是用的同一個登入名和密碼，所以專案管理上無法做到具體誰對伺服器進行了某些操作，現在的需求是能具體到某個研發人員在這個伺服器上的操作。公司用的內網，IP地址是動態的，也無法從IP地址確定到某個人。所以能否在研發人員登入伺服器時，伺服器根據登入者的IP地址直接獲取到他電腦的名字，這樣就可以跟蹤到具體的某個人了。

答：先檢視有誰登陸，在檢視他的MAC資訊

[[email protected] local]# who

root     pts/1        2011-11-09 13:49 (192.168.101.122)

root     pts/2        2011-11-09 13:49 (192.168.101.122)

[[email protected] local]# arp 192.168.101.122Address                  HWtype  HWaddress           Flags Mask            Iface

localhost.168.192.in-ad  ether   00:22:71:dc:2e:0b   C                     eth0

能看到MAC地址，有了MAC地址就知道是誰了

一、cat  /var/log/secure

遠端用SSH登陸redhat 、centos 伺服器，連線記錄日誌都在/var/log/secure 中，可以在其中檢視

COMMAND=/bin/ln -s /etc/issue /etc/issue.net
Apr 16 12:51:23 localhost sshd[6217]: Accepted password for lss from 192.168.0.131 port 3786 ssh2
Apr 16 12:51:23 localhost sshd[6217]: pam_unix(sshd:session): session opened for user lss by (uid=0)
Apr 16 12:57:55 localhost sshd[6217]: pam_unix(sshd:session): session closed for user lss

==============================

二、finger

finger指令會去查詢，並顯示指定帳號的使用者相關資訊，包括本地與遠端主機的使用者皆可，帳號名稱沒有大小寫的差別。單獨執行finger指令，它會顯示本地主機現在所有的使用者的登陸資訊，包括帳號名稱，真實姓名，登入終端機，閒置時間，登入時間以及地址和電話。

-l 　列出該使用者的帳號名稱，真實姓名，使用者專屬目錄，登入所用的Shell，登入時間，轉信地址，電子郵件狀態，還有計劃檔案和方案檔案內容。
 
    -m 　排除查詢使用者的真實姓名。
 
    -s 　列出該使用者的帳號名稱，真實姓名，登入終端機，閒置時間，登入時間以及地址和電話。

    -p 　列出該使用者的帳號名稱，真實姓名，使用者專屬目錄，登入所用的Shell，登入時間，轉信地址，電子郵件狀態，但不顯示該使用者的計劃檔案和方案檔案內容。

[[email protected] ~0m]# finger -l
Login: lss                              Name:[email protected]
Directory: /home/lss                    Shell: /bin/bash
On since Sat Apr 16 12:41 (EDT) on pts/0 from 192.168.0.65
   15 minutes 41 seconds idle
On since Sat Apr 16 10:31 (EDT) on pts/3 from 192.168.0.131
Last login Sat Apr 16 12:51 (EDT) on pts/1 from 192.168.0.131
No mail.
No Plan.

===================================

三、lastlog

lastlog檔案在每次有使用者登入時被查詢。可以使用lastlog命令檢查某特定使用者上次登入的時間，並格式化輸出上次登入日誌/var/log/lastlog的內容
lastlog檔案在每次有使用者登入時被查詢。可以使用lastlog命令檢查某特定使用者上次登入的時間，並格式化輸出上次登入日誌/var/log/lastlog的內容。它根據UID排序顯示登入名、埠號(tty)和上次登入時間。如果一個使用者從未登入過，lastlog顯示**Never logged**。注意需要以root身份執行該命令，例如：

　　rong 5 202.38.64.187 Fri Aug 18 15:57:01 +0800 2000

　　dbb **Never logged in**

　　xinchen **Never logged in**

　　pb9511 **Never logged in**

　　xchen 0 202.38.64.190 Sun Aug 13 10:01:22 +0800 2000

　　另外，可加一些引數，例如，"last -u 102"命令將報告UID為102的使用者;"last -t 7"命令表示限制為上一週的報告。

====================================

四、more /var/log/secure    who /var/log/wtmp

檢視linux下的使用者登入日誌，包括使用者登入時所用的主機的ip

切換到username下輸入
history
能看到這個使用者歷史命令，預設最近的1000條