last 命令：显示最近登录系统的用户信息

一、命令简介

​last​ 命令显示最近登录系统的用户信息，包括用户名、登录时间、登录来源（例如，tty 设备或远程 IP 地址）和注销时间（如果用户已注销）。

​last​ 命令的使用可以帮助系统管理员跟踪用户活动并诊断可能的安全问题。

‍

二、命令参数

用法：
 last [选项] [<用户名>...] [<tty>...]

显示上次登录用户的列表。

选项：
 -<数字>              显示行数
 -a, --hostlast       最后一列显示主机名
 -d, --dns            将 IP 号转换回主机名
 -F, --file <文件>    用指定文件代替 /var/log/wtmp
 -F, --fulltimes      打印完整的登录和注销时间和日期
 -i, --ip             以数字和点的形式显示 IP 号
 -n, --limit <数字>   要显示的行数
 -R, --nohostname     不显示主机名字段
 -s, --since <时间>   显示从指定时间起的行
 -t, --until <时间>   显示到指定时间为止的行
 -p, --present <时间> 显示在指定时间谁在场(present)
 -w, --fullnames      显示完整的用户名和域名
 -x, --system         显示系统关机项和运行级别更改
     --time-format <格式>    以指定<格式>显示时间戳：
                               notime|short|full|iso

 -h, --help           display this help
 -V, --version        display version

‍

三、命令示例

1. 显示系统中所有用户的登录记录：

   
   last  #最近登录记录
   #输出
   soulio   pts/0        192.168.10.55    Fri Sep 20 14:36   still logged in
   soulio   pts/1        192.168.10.15    Fri Sep 20 00:04 - 01:41  (01:36)
   soulio   pts/0        192.168.10.12    Thu Sep 19 23:40 - 02:48  (03:08)
   reboot   system boot  5.15.0-122-gener Thu Sep 19 23:39   still running
   soulio   pts/0        192.168.10.12    Thu Sep 19 23:39 - 23:39  (00:00)
   

2. 显示特定用户的登录记录：

   last soulio #指定查询用户 soulio
   

3. 显示登录记录的数量：

   last -n 10 #显示最近的 10 条登录记录
   

4. 显示特定时间范围内的登录记录：

   last -s YYYY-MM-DD -t YYYY-MM-DD
   

   
   

   显示从 YYYY-MM-DD​ 开始到 YYYY-MM-DD​ 结束之间的登录记录。

5. 显示登录记录的详细信息：

   last -F
   

   
   

   这将显示完整的登录记录，包括 IP 地址和终端信息。

6. 用指定文件代替 /var/log/wtmp

   last -f /var/run/my-wtmp #指定文件
   soulio   pts/0        192.168.10.46    Wed Apr 24 23:02   still logged in
   soulio   tty2         tty2             Sun Apr 21 20:22   still logged in
   reboot   system boot  6.5.0-28-generic Sun Apr 21 20:22   still running
   
   utmp begins Sun Apr 21 20:22:09 2024
   

​

‍