使用linux 的last命令:
last命令列出的是/var/log 目录下的wtmp文件内容,这个文件存的是二进制内容,不可以直接用vi等文本边界软件打开.这样即使是root用户也不可能随随便便的就修改文件内容.列出的内容包括用户名,终端号,ip地址和登陆时间,最重要的就是登录时间和ip地址,如果你在这个命令中看到非法的ip地址或在某个你没有操作的时间有登陆行为,你很可能已经被瞄上了!!!
last直接列出该文件的所有内容,可以使用last | more 或者less 来分屏显示.
last -d 把ip地址显示为主机名.
last +用户名 列出所有该用户的登陆行为
lastb 列出/var/log目录下btmp文件内容.
lastb 命令列出所有登陆失败的用户信息.这个文件可以判断是否有人在扫描你的系统!!
原文：http://8178481.blog.51cto.com/8168481/1650753