Linux日志文件-----utmp,wtmp,lastlog,messages（精編版）

1、linux日志文件utmp,wtmp,lastlog,messageslinux日志文件utmp 、wtmp 、lastlog 、messages：1、有關(guān)當(dāng)前登錄用戶的信息記錄在文件utmp中；=who命令2、登錄進(jìn)入和退出紀(jì)錄在文件wtmp 中； =w命令3、最后一次登錄文件可以用 lastlog命令察看；4、messages=從 syslog中記錄信息注意： wtmp和 utmp文件都是二進(jìn)制文件，他們不能被諸如tail 命令剪貼或合并 （使用 cat 命令）。用戶需要使用 who 、 w、users 、last和 ac 來使用這兩個文件包含的信息。例子：last命令往回搜索wtmp來顯

2、示自從文件第一次創(chuàng)建以來登錄過的用戶quote:chyang pts/9 202.38.68.242 tue aug 1 08:34 - 11:23(02:49)cfan pts/6 202.38.64.224 tue aug 1 08:33 - 08:48 (00:14)chyang pts/4 202.38.68.242 tue aug 1 08:32 - 12:13(03:40)lewis pts/3 202.38.64.233 tue aug 1 08:06 - 11:09 (03:03)lewis pts/2 202.38.64.233 tue aug 1 07:56 - 11:09

3、 (03:12)如果指明了用戶， 那么 last只報告該用戶的近期活動，例如，鍵入 last ynguo命令，然后按回車鍵，將顯示如下內(nèi)容：quote:ynguo pts/4 simba.nic.ustc.e fri aug 4 16:50 - 08:20(15:30)ynguo pts/4 simba.nic.ustc.e thu aug 3 23:55 - 04:40(04:44)ynguo pts/11 simba.nic.ustc.e thu aug 3 20:45 - 22:02(01:16)ynguo pts/0 simba.nic.ustc.e thu aug 3 03:17 -

4、 05:42(02:25)ynguo pts/0 simba.nic.ustc.e wed aug 2 01:04 - 03:161+02:12)ynguo pts/0 simba.nic.ustc.e wed aug 2 00:43 - 00:54(00:11)ynguo pts/9 simba.nic.ustc.e thu aug 1 20:30 - 21:26(00:55)users用單獨的一行打印出當(dāng)前登錄的用戶，每 個顯示的用戶名對應(yīng)一個登錄會話w 命令查詢 utmp文件并顯示當(dāng)前系統(tǒng)中每個用戶和它所運(yùn)行的進(jìn)程信息who命令查詢 utmp文件并報告當(dāng)前登錄的每個用戶ac命令根據(jù)當(dāng)前的

5、/var/log/wtmp文件中的登錄進(jìn)入和退出來報告用戶連結(jié)的時間（小時）例如，鍵入ac命令，然后按回車鍵，將顯示如下內(nèi)容：quote:total 5177.47鍵入 ac -d命令，然后按回車鍵，將顯示每天的總的連接時間：quote:aug 12 total 261.87aug 13 total 351.39aug 14 total 396.09aug 15 total 462.63aug 16 total 270.45aug 17 total 104.29today total 179.02utmp文件，它記錄當(dāng)前登錄進(jìn)系統(tǒng)的各個用戶；包含下列結(jié)構(gòu)的一個二進(jìn)制記錄寫入這兩個文件中：str

6、uct utmp char ut_line8; /* tty line: "ttyh0", "ttyd0", "ttyp0", . */ char ut_name8; /* login name */long ut_time; /* seconds since epoch */;登錄時， login程序填寫這樣一個結(jié)構(gòu)，然后將 其寫入到 utmp文件中，同時也將其添寫到wtmp文件中。注銷時，init進(jìn)程將 utmp文件中相應(yīng)的記錄擦除(每個字節(jié)都填以 0 ) ，并將一個新記錄添寫到wtmp文件中。讀wtmput_name字段清除為0 。在系統(tǒng)再文件中的該注銷記錄，其啟動時，以及更改系統(tǒng)時間和日期的前后，都在wtmp文件中添寫特殊的記錄項。who( 1 ) 程序讀 utmp文件， 并以可讀格式打印其內(nèi)容。后來的unix版本提供 last( 1 ) 命令，它讀 wtmp文件并打印所選擇的記錄。wtmp文件，它跟蹤各 個登錄和注銷事件。wtedwtmp/utmp日志編輯程序。 你可以使用這個工具編輯所有 wtmp或者 utmp類型的文