主要查看方法概览

分步骤详细操作流程

步骤一：查看系统认证日志

• 对于Ubuntu/Debian系统，主要查看/var/log/auth.log
• 对于CentOS/RHEL系统，主要查看/var/log/secure

# Ubuntu/Debian系统
sudo cat /var/log/auth.log | grep -i "accepted"
CentOS/RHEL系统  
sudo cat /var/log/secure | grep -i "accepted"
查看最近10条成功的SSH登录记录
sudo tail -n 10 /var/log/auth.log | grep "Accepted"

步骤二：使用last命令查看成功登录记录

• 默认显示所有登录记录
• 可以使用-n参数限制显示条数
• 可以指定用户名查看特定用户登录记录

# 查看所有登录记录
last
查看最近20条登录记录
last -n 20
查看特定用户的登录记录
last username
以更易读的格式显示
last -F

步骤三：使用lastb命令监控失败登录

• 可能需要root权限
• 记录包含攻击者IP地址
• 可以帮助设置防火墙规则

# 查看失败的登录尝试
sudo lastb
查看最近失败的登录并统计次数
sudo lastb | awk '{print $3}' | sort | uniq -c | sort -nr

步骤四：使用lastlog命令检查用户最后登录

• 显示所有系统用户的最后登录状态
• 从未登录的用户会显示"Never logged in"
• 有助于清理不活跃账户

# 查看所有用户的最后登录时间
lastlog
查看特定时间范围内的登录情况
lastlog -t 7  # 显示7天内的登录

常见问题及解决方案

高级监控技巧

实时监控登录活动

# 实时监控SSH登录尝试
sudo tail -f /var/log/auth.log | grep --line-buffered "ssh"
设置登录告警脚本
#!/bin/bash
tail -f /var/log/auth.log | while read line; do
    if echo "$line" | grep -q "Failed password"; then
        echo "警告：检测到登录失败 - $line"
    fi
done

分析登录统计信息

# 统计成功登录次数最多的IP
last | awk '{print $3}' | grep -v '^$' | sort | uniq -c | sort -nr
统计失败登录尝试
sudo lastb | awk '{print $3}' | sort | uniq -c | sort -nr | head -10