Linux操作系统在 服务器 端及个人电脑中都得到广泛应用，因其高效、安全、稳定等特点备受青睐。然而，在系统管理中，监控系统的安全性尤为重要，而系统登录日志就是重要的监控信息之一。登录日志可以记录用户的登录信息及其他关键事件，帮助管理员识别潜在的威胁、检测被盗、加固系统安全性等。但是，日志文件往往体积巨大，需要花费大量的时间和资源来阅读和分析，因此，快速高效的日志筛选技巧显得十分重要。
本文将着重介绍如何利用常用的命令和工具，在Linux系统中快速高效地筛选登录日志信息，包括查找指定用户登录信息、查找指定时间段内的登录记录、排查登录失败等。
一、查找指定用户登录信息
在Linux系统中，可以使用last命令查看系统上所有用户（包括当前和过去的）的登录记录。但是，如果需要了解某个用户的登录情况，可以使用以下命令来查找：
last username
该命令可以列出指定用户的登录记录，显示登录时间、登录方式（SSH、telNet等）、登录IP地址等信息。例如，如果需要查找用户名为“testuser”的登录记录，可以输入以下命令：
last testuser
该命令将输出类似以下的结果：
testuser pts/0 192.168.0.21 Tue Oct 19 15:30 still logged in
testuser tty3 Tue Oct 19 14:48 – 14:53 (00:04)
testuser pts/1 192.168.0.22 Tue Oct 19 09:25 – 11:39 (02:14)
testuser pts/1 192.168.0.22 Mon Oct 18 15:10 – 16:13 (01:03)
可以看出，该用户在不同的终端和IP地址下进行了登录，并且有些登录仍然处于活动状态。如果需要查找特定用户最近的登录记录，可以使用以下命令：
last username -n 5
该命令列出指定用户最近的5次登录记录。
二、查找指定时间段内的登录记录
有时候需要查看某个时间段内的登录记录，以确定系统安全性或者排查问题。下面介绍几个命令来查找指定时间段内的登录记录。
1、使用last命令
last命令中可以使用“-since”和“-until”选项来指定时间段。例如，以下命令将显示指定时间段内的登录记录：
last -since 2023-09-01 -until 2023-09-30
其中，since参数指定开始时间，until参数指定结束时间。对于此命令，它将显示从2023年9月1日到9月30日之间的登录记录。
2、使用cat命令和auth日志文件
Linux系统中的auth日志文件记录了所有与系统安全相关的信息，包括用户的登录、认证和授权情况。因此，可以通过读取这个日志文件来查找指定时间段内的登录记录。以下是具体的步骤：
使用以下命令查看auth日志文件：
cat /var/log/auth.log
该命令将列出所有的登录记录和相关信息。然而，由于该文件通常非常大，因此需要使用Grep命令来查找指定时间段内的记录。以下是一个例子：
cat /var/log/auth.log | grep “Sep 20 23:27”
上述命令将列出9月20日23:27时登录系统的所有记录。如果需要查找特定时间段内的记录，可以使用以下命令：
cat /var/log/auth.log | grep “Sep 20” | grep “23:2[45678]”
该命令列出9月20日23:24到23:28之间登录系统的记录。
三、排查登录失败
有时候，用户可能会出现登录失败的情况，例如用户名或密码错误等。以下是一些命令来查找登录失败的记录。
1、使用lastb命令
lastb命令用于显示最近的错误登录记录。例如，以下命令将列出最近10次的登录失败：
该命令将输出从当前到最近10次错误登录记录的信息，包括用户信息、时间、源IP地址等。
2、使用cat命令和auth日志文件
另一种查找登录失败记录的方式是读取auth日志文件。该文件记录了所有与系统安全相关的信息，包括失败的登录尝试。以下是一些命令来查找登录失败的记录：
cat /var/log/auth.log | grep “Fled”
该命令将列出所有失败的登录记录。
cat /var/log/auth.log | grep “Fled password for”
该命令将列出所有失败的登录尝试的相关信息。
在Linux系统使用中，查看和分析登录日志非常重要。使用以上介绍的，可以快速找到特定用户的登录信息、指定时间段内的登录记录、登录失败等关键信息，有助于提升系统安全性、检测潜在的威胁和优化系统管理。
相关问题拓展阅读：
linux服务器中怎么查看日志内容
登录
Linux查看日志常用命令
1.查看日志常用命令
n 是显示行号；相当于nl命令；例子如下：
Tail -100f test.log 实时监控100行日志
tail -n 10 test.log 查询日志尾部最后10行的日志;
tail -n +10 test.log 查询10行之后的所有困渗日志;
跟tail是汪兆脊相反的猜罩，tail是看后多少行日志；例子如下：
head -n 10 test.log 查询日志文件中的头10行日志;
head -n -10 test.log 查询日志文件除了最后10行的其他所有日志;
tac是倒序查看，是cat单词反写；例子如下：
cat -n test.log |grep “debug” 查询关键字的日志
2. 应用场景一：按行号查看—过滤出关键字附近的日志
1）cat -n test.log |grep “debug” 得到关键日志的行号
2）cat -n test.log |tail -n +92|head -n 20 选择关键字所在的中间一行. 然后查看这个关键字前10行和后10行的日志:
tail -n +92表示查询92行之后的日志
head -n 20 则表示在前面的查询结果里再查前20条记录
sed -n ‘/:17:20/,/:17:36/p’ test.log
先 grep ‘:17:20’ test.log 来确定日志中是否有该 时间点
4.应用场景三：日志内容特别多，打印在屏幕上不方便查看
(1)使用more和less命令,
如： cat -n test.log |grep “debug” |more 这样就分页打印了,通过点击空格键翻页
(2)使用 >xxx.txt 将其保存到文件中,到时可以拉下这个文件分析
如：cat -n test.log |grep “debug” >debug.txt
关于linux 登录日志筛选的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。
香港服务器首选树叶云，2H2G首月10元开通。树叶云（shuyeidc.com）提供简单好用，价格厚道的香港/美国云服务器和独立服务器。IDC+ISP+ICP资质。ARIN和APNIC会员。成熟技术团队15年行业经验。
Linux中显示自己登录的用户用那个命令？
login name：登录用户名；terminal line：使用终端设备；login time：登录到系统的时间。 下面对who命令的常用参数进行说明。 -m它的效果同who am i显示出自己在系统中的用户名，登录终端，登录时间-q只显示用户的登录帐号和登录用户的数量-s忽略，它同于who-r可以查看当前系统的运行级别 run-level 3 Apr 21 09:37 last=S-H，--heading 显示一行列标题。 常用的标题如表4-2所示。 三, whoami 命令只显示出自己在系统中的用户名四, who am i 命令显示出自己在系统中的用户名，登录终端，登录时间 可以查看自己登录到系统中的用户名，它同logname一样。 五, logname 命令可以显示自己登录到系统中的用户名六, last 命令可以查看上次自己登录的时间，当然root可以查看其他用户登录的情况。 last -n user 可以看user前n次登录的情况七, tty命令 可以使用tty来报告所连接的设备或终端
linux系统中在查看systemout.log时log中有许多内容，用什么命令可以快速的跳到想要的信息那里？
用gedit打开，Ctrl+f搜索一下你想要的内容
linux中使用分页查看/var/log/messages文件
-n：查看行号信息more：空格翻页 回车换行less：上下键翻页 可以反复看（可以回翻页）head：显示前几行head －5 显示前5行tail：显示后几行tail -f 动态更新grep:查看文件中包含关键字的一行＃grep --color=tty dump 彩色显示正则表达式：^root 以root为开头（^）root$,以root结尾（$）-v：不包括的几行（取反）grep -n -v ^# /etc/vsftpd/
发表评论