En un sistema Linux, todo se registra en un archivo de registro en el directorio llamado /var/log. Este directorio contiene registros relacionados con diferentes servicios y aplicaciones. En este directorio tenemos algunos archivos como utmp , wtmp y btmp . A diferencia de los archivos de registro del sistema y los archivos de registro de autenticación, todos estos archivos son archivos binarios. Por lo tanto, no podemos usar nuestras herramientas de texto normales, como less o grep, para leerlos o extraer información de ellos. En su lugar, usaremos algunas herramientas especiales que pueden leer estos archivos binarios.
- utmp le dará una imagen completa de los inicios de sesión de los usuarios en qué terminales, cierres de sesión, eventos del sistema y estado actual del sistema, tiempo de arranque del sistema (utilizado por el tiempo de actividad), etc.
- wtmp da datos históricos de utmp.
- btmp registra solo los intentos fallidos de inicio de sesión.
w y quien manda
Los comandos w y who extraen información sobre quién inició sesión y qué está haciendo desde el archivo /var/run/utmp. Si desea ver la lista de usuarios que actualmente están conectados, use quién:
$ who geek console Jul 1 23:27 geek ttys000 Jul 7 13:13 geek ttys001 Jul 18 18:34
último comando
El último El comando proporciona información sobre cómo iniciaron sesión, cuándo iniciaron sesión y cuándo cerraron sesión, etc. en la pantalla.
# last
También podemos usar el último comando para leer el contenido de los archivos wtmp, utmp y btmp. Por ejemplo:
# last -f /var/log/wtmp ### To open wtmp file and view its content use blow command. # last -f /var/run/utmp ### To see still logged in users view utmp file use last command. # last -f /var/log/btmp ### To view btmp file use same command.
último comandob
Puede revisar el historial actual de sesiones registradas contenidas en /var/run/btmp escribiendo:
# lastb
comando utmpdump
Ahora, dado que los archivos binarios no se pueden ver usando comandos básicos de lectura como cat, less y more, en lugar de simplemente confiar en comandos básicos como last, who, lastb y otros, un enfoque diferente es usar el comando utmpdump como esto:
# utmpdump /path/to/binary
Entonces, si desea leer el contenido de los archivos binarios wtmp, utmp o btmp, use el comando como:
# utmpdump /var/run/utmp # utmpdump /var/log/wtmp # utmpdump /var/log/btmp