In einem Linux-System wird alles in einer Protokolldatei unter dem Verzeichnis namens /var/log protokolliert. Dieses Verzeichnis enthält Protokolle zu verschiedenen Diensten und Anwendungen. In diesem Verzeichnis haben wir einige Dateien wie utmp , wtmp und btmp . Im Gegensatz zu den Systemprotokolldateien und den Authentifizierungsprotokolldateien sind alle diese Dateien Binärdateien. Wir können also unsere normalen Textwerkzeuge wie less oder grep nicht verwenden, um sie zu lesen oder Informationen daraus zu extrahieren. Stattdessen verwenden wir einige spezielle Tools, die diese Binärdateien lesen können.
- utmp gibt Ihnen ein vollständiges Bild von Benutzeranmeldungen an welchen Terminals, Abmeldungen, Systemereignissen und dem aktuellen Status des Systems, Systemstartzeit (verwendet durch Betriebszeit) usw.
- wtmp liefert historische Daten von utmp.
- btmp zeichnet nur fehlgeschlagene Anmeldeversuche auf.
w und wer befiehlt
Die Befehle w und who ziehen Informationen darüber, wer angemeldet ist und was sie tun, aus der Datei /var/run/utmp. Wenn Sie die Liste der derzeit angemeldeten Benutzer sehen möchten, verwenden Sie who:
$ who geek console Jul 1 23:27 geek ttys000 Jul 7 13:13 geek ttys001 Jul 18 18:34
letzter Befehl
Der letzte Befehl zeigt, wie sie sich angemeldet haben, wann sie sich angemeldet haben und wann sie sich abgemeldet haben usw. Informationen auf dem Bildschirm.
# last
Mit dem letzten Befehl können wir auch den Inhalt der Dateien wtmp, utmp und btmp lesen. Zum Beispiel:
# last -f /var/log/wtmp ### To open wtmp file and view its content use blow command. # last -f /var/run/utmp ### To see still logged in users view utmp file use last command. # last -f /var/log/btmp ### To view btmp file use same command.
lastb-Befehl
Sie können den aktuellen Verlauf der protokollierten Sitzungen in /var/run/btmp überprüfen, indem Sie Folgendes eingeben:
# lastb
utmpdump-Befehl
Da Binärdateien nicht mit einfachen Lesebefehlen wie cat, less und more angezeigt werden können, anstatt sich einfach auf grundlegende Befehle wie last, who, lastb und andere zu verlassen, besteht ein anderer Ansatz darin, den utmpdump-Befehl like zu verwenden das:
# utmpdump /path/to/binary
Wenn Sie also den Inhalt der Binärdateien wtmp, utmp oder btmp lesen möchten, verwenden Sie den Befehl als:
# utmpdump /var/run/utmp # utmpdump /var/log/wtmp # utmpdump /var/log/btmp