Linux日志文件-----utmp,wtmp,lastlog,messages（精編版）

1、linux 日志文件 -utmp,wtmp,lastlog,messages linux 日志文件 utmp 、wtmp 、lastlog 、messages ：1、有關(guān)當(dāng)前登錄用戶的信息記錄在文件utmp 中；=who命令2、登錄進(jìn)入和退出紀(jì)錄在文件wtmp中； =w命令3、最后一次登錄文件可以用lastlog 命令察看；4、messages=從 syslog 中記錄信息注意：wtmp 和 utmp 文件都是二進(jìn)制文件，他們不能被諸如 tail 命令剪貼或合并 （使用 cat 命令） 。 用戶需要使用 who 、w、users 、last 和 ac 來使用這兩個文件包含的信息。例子：last

2、 命令往回搜索wtmp 來顯示自從文件第一次創(chuàng)建以來登錄過的用戶quote: chyang pts/9 202.38.68.242 tue aug 1 08:34 - 11:23 (02:49) cfan pts/6 202.38.64.224 tue aug 1 08:33 - 08:48 (00:14) chyang pts/4 202.38.68.242 tue aug 1 08:32 - 12:13 (03:40) lewis pts/3 202.38.64.233 tue aug 1 08:06 - 11:09 (03:03) lewis pts/2 202.38.64.233 tu

3、e aug 1 07:56 - 11:09 (03:12) 如果指明了用戶， 那么 last 只報告該用戶的近期活動，例如，鍵入 last ynguo命令，然后按回車鍵，將顯示如下內(nèi)容：quote: ynguo pts/4 simba.nic.ustc.e fri aug 4 16:50 - 08:20 (15:30) ynguo pts/4 simba.nic.ustc.e thu aug 3 23:55 - 04:40 (04:44) ynguo pts/11 simba.nic.ustc.e thu aug 3 20:45 - 22:02 (01:16) ynguo pts/0 simb

4、a.nic.ustc.e thu aug 3 03:17 - 05:42 (02:25) ynguo pts/0 simba.nic.ustc.e wed aug 2 01:04 - 03:16 1+02:12) ynguo pts/0 simba.nic.ustc.e wed aug 2 00:43 - 00:54 (00:11) ynguo pts/9 simba.nic.ustc.e thu aug 1 20:30 - 21:26 (00:55) users 用單獨的一行打印出當(dāng)前登錄的用戶，每個顯示的用戶名對應(yīng)一個登錄會話w 命令查詢 utmp 文件并顯示當(dāng)前系統(tǒng)中每個用戶和它所運(yùn)行的

5、進(jìn)程信息who 命令查詢 utmp 文件并報告當(dāng)前登錄的每個用戶ac命令根據(jù)當(dāng)前的 /var/log/wtmp文件中的登錄進(jìn)入和退出來報告用戶連結(jié)的時間（小時）例如，鍵入ac 命令，然后按回車鍵，將顯示如下內(nèi)容：quote: total 5177.47 鍵入 ac -d 命令，然后按回車鍵，將顯示每天的總的連接時間：quote: aug 12 total 261.87 aug 13 total 351.39 aug 14 total 396.09 aug 15 total 462.63 aug 16 total 270.45 aug 17 total 104.29 today total 17

6、9.02 utmp 文件，它記錄當(dāng)前登錄進(jìn)系統(tǒng)的各個用戶；包含下列結(jié)構(gòu)的一個二進(jìn)制記錄寫入這兩個文件中：struct utmp char ut_line8; /* tty line: ttyh0, ttyd0, ttyp0, . */ char ut_name8; /* login name */ long ut_time; /* seconds since epoch */ ; 登錄時， login 程序填寫這樣一個結(jié)構(gòu)，然后將其寫入到 utmp 文件中，同時也將其添寫到wtmp 文件中。注銷時，init 進(jìn)程將 utmp 文件中相應(yīng)的記錄擦除(每個字節(jié)都填以 0 )，并將一個新記錄添寫到wtmp 文件中。讀wtmp文件中的該注銷記錄，其ut_name 字段清除為0。在系統(tǒng)再啟動時，以及更改系統(tǒng)時間和日期的前后，都在wtmp 文件中添寫特殊的記錄項。who( 1 ) 程序讀 utmp 文件，并以可讀格式打印其內(nèi)容。后來的unix 版本提供 last( 1 ) 命令，它讀 wtmp 文件并打印所選擇的記錄。wtmp 文件，它跟蹤各個登錄和注銷事件。wted wtmp/utmp日志編輯程序。 你可以使用這個工具編輯所有 wtmp 或者 utmp 類型