用户登录追踪：w、who 与 last 的读法

发布时间:2026-01-05 16:12

## 场景 接手一台机器，第一件事是搞清楚谁在上面、什么时候来的、干了多久；安全事件复盘，第一手材料是登录记录。w、who、last 三个命令覆盖当前会话与历史登录两个维度，都是系统自带，不需要安装任何东西。把它们读熟，机器上的人员活动就有了完整的时间线。 ## 步骤清单 看当前时刻谁在线、在干什么。 ``` w ``` 输出的关键列：登录用户、终端、来源地址、空闲时长、当前正在执行的命令。来源地址是最值得盯的一列，陌生地址就是处置信号。 ``` who -u ``` 信息类似但更精简，加了登录进程号，需要强制踢出会话时用它定位。 ``` last -n 20 ``` 读历史登录记录，最近二十条，含用户、终端、来源地址、起止时间与会话时长，still logged in 表示尚未退出。历史数据来自系统的登录记录文件，重启不清空，回溯跨度由日志轮转策略决定。 ## 验证与交叉 三个命令的输出可以互相印证：w 里的会话一定出现在 who 里，也一定对应 last 中一条未关闭的记录，对不上就说明有工具被做了手脚，本身就是强信号。发现可疑会话后，先用来源地址反查归属，再看该会话期间 shell 历史与登录后的操作痕迹，判断是同事误用还是外部入侵。系统里还有一份按用户的累计登录统计，用它对照账号的应有使用频率，异常活跃的账号一眼可见。 ## 注意事项 记录基于本地日志，日志轮转后早期历史消失，长期留存要把相关文件纳入备份范围。合法用户的公网登录频繁出现在多地，是密钥泄露的典型指纹，别急着当成正常漫游。清空登录记录本身也是高危行为，正常运维没有理由这么做。顺云云服务器建议把密钥登录与防火墙规则收紧到最小范围，再把 last 的例行查看纳入巡检脚本，人员侧的安全就有了基础盘。