主页 / server / 问题 / 584733
Accepted
osgx
Asked: 2014-03-27 10:32:43 +0800 CST

从 wtmp 解码所有记录

  • 772

/var/log/wtmp根据手册页http://linux.die.net/man/5/wtmp的 Linux 日志存储了许多系统事件的“utmp”事件，例如登录到它 (LOGIN_PROCESS ut_type)、更改运行级别 (RUN_LVL ut_type) 等。

有一个last实用程序，它解析 wtmp 并打印谁登录到系统，以及何时重新启动。

是否有工具可以显示日志中的其他记录wtmp？

将信息写入wtmp日志的过程是什么？

linux

2 个回答

  1. 您应该查看审核日志。

    尝试使用ausearch，它提供的utmp功能以及更多功能。

    • 1
  2. Best Answer

    有几个用于 wtmp 文件的简单 perl 解析器，例如wtmp.pl“Brocade Blue”

    http://brocadeblue.blogspot.com/2012/10/perl-script-to-parse-wtmp-logs.html

    wtmp.pl修正了轻微错别字的完整来源：

    #!/usr/bin/perl
@type = (
    "Empty", "Run Lvl", "Boot", "New Time", "Old Time", "Init",
    "Login", "Normal",  "Term", "Account"
);
$recs = "";
while (<>) { 
    $recs .= $_;
}
foreach ( split( /(.{384})/s, $recs ) ) {
    next if length($_) == 0 ;
    my ( $type, $pid, $line, $inittab, $user, $host, $t1, $t2, $t3, $t4, $t5 ) =
      $_ =~ /(.{4})(.{4})(.{32})(.{4})(.{32})(.{256})(.{4})(.{4})(.{4})(.{4})(.{4})/s;
    if ( defined $line && $line =~ /\w/ ) {  ##FILTER
        $line =~ s/\x00+//g;
        $host =~ s/\x00+//g;
        $user =~ s/\x00+//g;
        printf(
            "%s %-8s %-12s %10s %-45s \n",
            scalar( gmtime( unpack( "I4", $t3 ) ) ),
            $type[ unpack( "I4", $type ) ],
            $user,   $line,   $host
        );
    }
}
printf "\n"

    该脚本可能无法在 64 位机器上运行。(.{4})对于 64 位环境，“384”和长行应该是固定的。

    PS：要查看所有记录，请禁用if标有“ ##FILTER”的表达式。

    • 1

相关问题