In un sistema Linux, tutto viene registrato in un file di registro nella directory chiamata /var/log. Questa directory contiene i registri relativi a diversi servizi e applicazioni. In questa directory abbiamo alcuni file come utmp , wtmp e btmp . A differenza dei file di registro di sistema e dei file di registro di autenticazione, tutti questi file sono file binari. Quindi, non possiamo usare i nostri normali strumenti di testo, come less o grep, per leggerli o estrarne informazioni. Useremo invece alcuni strumenti speciali in grado di leggere questi file binari.
- utmp ti fornirà un quadro completo degli accessi degli utenti a quali terminali, disconnessioni, eventi di sistema e stato corrente del sistema, tempo di avvio del sistema (utilizzato dall'uptime) ecc.
- wtmp fornisce i dati storici di utmp.
- btmp registra solo i tentativi di accesso non riusciti.
we chi comanda
I comandi w e who estraggono informazioni su chi ha effettuato l'accesso e cosa stanno facendo dal file /var/run/utmp. Se vuoi vedere l'elenco degli utenti che hanno effettuato l'accesso, usa chi:
$ who geek console Jul 1 23:27 geek ttys000 Jul 7 13:13 geek ttys001 Jul 18 18:34
ultimo comando
L'ultimo Il comando fornisce informazioni su come hanno effettuato l'accesso, quando hanno effettuato l'accesso e quando si sono disconnessi, ecc.
# last
Possiamo anche usare l'ultimo comando per leggere anche il contenuto dei file wtmp, utmp e btmp. Ad esempio:
# last -f /var/log/wtmp ### To open wtmp file and view its content use blow command. # last -f /var/run/utmp ### To see still logged in users view utmp file use last command. # last -f /var/log/btmp ### To view btmp file use same command.
ultimo comando
Puoi rivedere la cronologia corrente delle sessioni registrate contenute in /var/run/btmp digitando:
# lastb
Comando utmpdump
Ora, dato che i file binari non possono essere visualizzati usando comandi di lettura di base come cat, less e more, piuttosto che basarsi semplicemente su comandi di base come last, who, lastb e altri, un approccio diverso consiste nell'usare il comando utmpdump come questo:
# utmpdump /path/to/binary
Quindi se vuoi leggere il contenuto dei file binari wtmp, utmp o btmp, usa il comando come:
# utmpdump /var/run/utmp # utmpdump /var/log/wtmp # utmpdump /var/log/btmp