Linux 中的 wtmp：深入理解用户登录日志系统
💡
原文中文，约4500字，阅读约需11分钟。
📝
内容提要
本文介绍了wtmp的基本概念、文件结构及管理方法。wtmp是Linux系统中记录用户登录和注销事件的二进制日志文件，路径为/var/log/wtmp。它帮助管理员分析用户行为和检测异常登录。文章还讨论了读取wtmp日志的工具、日志管理与维护方法，以及常见问题的解决方案。
🎯
关键要点
- wtmp是Linux系统中记录用户登录和注销事件的二进制日志文件，路径为/var/log/wtmp。
- wtmp记录系统的登录历史、会话持续时间以及系统状态变化，是管理员分析用户行为的重要依据。
- wtmp文件结构遵循struct utmp格式，包含登录用户名、终端设备名、远程主机名、时间戳等字段。
- last是读取wtmp日志的核心工具，支持按时间倒序显示用户登录历史。
- lastb用于查看失败的登录尝试，记录在独立的btmp文件中。
- utmpdump可将wtmp的二进制条目转换为人类可读的文本格式，常用于调试。
- wtmp日志会不断增长，需通过logrotate工具进行管理，避免耗尽磁盘空间。
- wtmp包含敏感信息，需严格控制访问权限，避免泄露用户隐私。
- wtmp文件损坏时可用utmpdump检查完整性，必要时需重建wtmp。
- 定期轮转与备份wtmp日志，监控异常登录，确保系统安全。
➡️
