Linux如何查看服务器登录记录？

服务器被陌生IP登录、怀疑账号被盗，是运维经常遇到的安全问题。Linux会自动记录登录行为，包含登录账号、登录IP、登录时间、登录方式，下面整理常用查看命令，区分交互式登录、失败登录记录，以及日志存放位置。

一、who命令：查看当前在线登录用户

who用来查看**正在服务器上登录**的账号，实时在线会话。

who

输出字段：用户名、终端、登录时间、来源IP

-tty：本地终端登录

-pts/0、pts/1：SSH远程登录

扩展：

who-a

显示更完整信息，包括系统启动时间、登录进程ID。

二、w命令：查看在线用户+正在执行的操作

w比who信息更丰富，不仅看谁在线，还能看到登录后在做什么、负载。

w

顶部会输出服务器当前负载，下面每一行：用户、来源IP、登录时间、空闲时长、当前命令。适合快速排查有没有陌生账号在线。

三、last命令：查看历史登录记录

last读取`/var/log/wtmp`日志，记录所有成功登录、重启记录，按时间倒序，最新的在最上面。

last

字段说明：用户名、登录终端、来源IP、登录时间、退出时间

-`reboot`代表服务器重启记录

-显示`stillloggedin`：用户还在线

常用参数：

#只看最近10条登录

last-n10

#只看ssh登录（pts）

last|greppts

>>注意：wtmp是二进制日志，不能直接cat打开，只能用last读取。

四、lastb命令：查看登录失败记录

lastb读取`/var/log/btmp`，专门记录**SSH密码错误、暴力破解失败**的登录尝试，排查爆破必用。

lastb

很多服务器会出现大量陌生IP反复尝试root账号，就是典型暴力扫描。

如果提示权限不足，加sudo：

sudolastb`

五、直接查看系统日志文件

CentOS/RHEL

登录日志：/var/log/secure

cat/var/log/secure|grepsshd

Ubuntu/Debian

登录日志：`/var/log/auth.log`

cat/var/log/auth.log|grepsshd

可以过滤关键词：Accepted（登录成功）、Failed（密码错误）

示例过滤成功登录：

grep"Accepted"/var/log/auth.log

过滤失败登录：

grep"Failedpassword"/var/log/auth.log

六、日志轮转与留存说明

Linux日志会自动轮转，旧日志会被压缩：

-secure-202611.gz、auth.log.1.gz这类压缩包

想看历史更早登录记录，需要zcat解压查看：

zcat/var/log/auth.log.2.gz|grepAccepted

⚠️重要：日志有保留周期，不是永久保存，日志被清理后，登录记录就无法找回。