跳到主要内容

操作日志

查看登录日志​

# 查看当前登录的用户
who
# 输出示例：
# alice   pts/0        2025-05-22 10:00 (192.168.1.100)
# bob     pts/1        2025-05-22 11:30 (192.168.1.200)

# 更详细的当前登录信息（包括正在执行的命令）
w

# 查看所有用户的登录历史（包括失败的）
last
# 输出：用户名、终端、来源IP、时间

# 查看失败的登录尝试（暴力破解的可疑记录）
lastb
# 需要 root 权限（查看最多的 ip ）
sudo lastb | awk '{print $3}' | sort | uniq -c | sort -nr | head -10

# 查看上次登录信息（每次登录后会显示）
lastlog

查看 sudo 操作日志​

# Ubuntu/Debian 系统
sudo cat /var/log/auth.log | grep sudo

# CentOS/RHEL 系统
sudo cat /var/log/secure | grep sudo

# 只看最近的 sudo 操作
sudo tail -50 /var/log/auth.log | grep sudo
## CentOS/RHEL 系统
sudo tail -50 /var/log/secure | grep sudo

查看系统日志​

# 使用 journalctl（systemd 系统的统一日志工具）
# 查看所有日志（实时滚动）
sudo journalctl -f

# 查看最近的 100 条日志
sudo journalctl -n 100

# 查看指定服务的日志
sudo journalctl -u nginx
sudo journalctl -u mysql
sudo journalctl -u docker
sudo journalctl -u sshd -n 30 --no-pager


# 查看今天的日志
sudo journalctl --since today

# 查看指定时间段的日志
sudo journalctl --since "2025-05-22 09:00:00" --until "2025-05-22 12:00:00"

# 只看错误日志
sudo journalctl -p err

查看命令历史记录​

# 查看当前用户的命令历史
history

# 查看 alice 的命令历史（需要 alice 的权限或 root）
sudo cat /home/alice/.bash_history

# 或者切换到 alice 查看
sudo su - alice
history