剛接手一臺服務(wù)器第一件事我會敲w有人跟我說系統(tǒng)有點卡我第一反應(yīng)也是w排查異常登錄、清理僵尸會話、寫巡檢腳本翻來覆去用的還是那幾個命令。但有意思的是很多做了兩三年的運維被問到Linux如何查看當前登錄用戶能脫口而出who再問w和who的區(qū)別、last和lastlog的差異就開始含糊了。這個標題看起來簡單實際是一個非常典型的一題多解場景同一個需求命令不同、輸出不同、適用時機也不同。今天我就把這塊掰開揉碎講清楚從最基礎(chǔ)的who到歷史登錄審計再到配合排查實際故障的完整思路順便把面試里喜歡追問的細節(jié)也一并交代了。1. 先分清who、w、users、whoami到底誰在干查看登錄用戶的活很多人記命令是死記硬背who看登錄、w看登錄、last看登錄但從來不想這些命令背后的設(shè)計差異。實際上它們是四個不同的工具定位完全不同。1.1 who最樸素的現(xiàn)在誰在系統(tǒng)里who是最直接的命令不加任何參數(shù)輸出長這樣$ who root pts/0 2025-01-12 09:23 (192.168.1.10) zhangsan pts/1 2025-01-12 10:02 (192.168.1.23) lisi pts/2 2025-01-12 10:45 (192.168.1.34)四列信息分別是用戶名、終端類型、登錄時間、來源地址。這里有個細節(jié)值得注意第三列后面的括號里如果是IP說明是遠程SSH登錄如果是:0或者tty1這類說明是本機物理終端登錄。做機房巡檢或者排查內(nèi)網(wǎng)攻擊源的時候這一列就是最重要的線索。who命令還有很多參數(shù)我常用的一個是who -u會多顯示一個空閑時間和進程ID?？臻e時間這一列在排查誰掛在服務(wù)器上不動的時候很實用后面講實戰(zhàn)排查我會細說。1.2 w登錄名單之外它連正在執(zhí)行什么命令都給你列出來你可能要問了who已經(jīng)能看登錄用戶了為什么還要w這就是典型的夠用和好用的區(qū)別。w的輸出比who豐富得多$ w 10:56:32 up 2:14, 3 users, load average: 0.08, 0.03, 0.05 USER TTY FROM LOGIN IDLE JCPU PCPU WHAT root pts/0 192.168.1.10 09:23 1:33 0.12s 0.02s vim /etc/nginx/nginx.conf zhangsan pts/1 192.168.1.23 10:02 4:25 0.05s 0.05s -bash lisi pts/2 192.168.1.34 10:45 0.00s 0.03s 0.02s top第一行是系統(tǒng)整體狀態(tài)當前時間、系統(tǒng)運行時長、用戶總數(shù)、負載均值。這一行在排查負載問題時可以直接當開胃菜。然后是每個登錄用戶的詳情IDLE用戶空閑了多久長時間高數(shù)值說明這個會話基本掛死了JCPU該終端所有進程累計消耗的CPU時間PCPU當前前臺進程消耗的CPU時間WHAT用戶當前正在執(zhí)行的命令w和who的關(guān)系我習(xí)慣這么理解who是點名冊w是點名冊加實時監(jiān)控。如果你只有時間記一個命令記w它覆蓋了who的全部功能還多得多。1.3 users簡潔到可以寫進腳本如果說who是點名冊那users就是簽到單——它只輸出用戶名一行搞定$ users root zhangsan lisi它的價值主要體現(xiàn)在腳本里。比如我要寫一個巡檢腳本判斷是否有除root之外的用戶在線直接解析users的輸出比解析who簡單得多#!/bin/bash # 檢查是否有非root用戶在線 online_users$(users) if echo $online_users | grep -qv root; then echo 警告存在非root用戶在線$online_users fi注意users輸出中的用戶名可能有重復(fù)比如同一個用戶開了兩個終端。如果需要去重可以用users | tr \n | sort -u。1.4 whoami它其實不回答當前有哪些用戶whoami嚴格來說不在查看登錄用戶的范疇里但我發(fā)現(xiàn)新手經(jīng)常把它和who搞混——who是看系統(tǒng)里有誰whoami是看我是誰。$ whoami root這個命令的真實邏輯是讀取當前進程的UID然后映射用戶名。它有個很隱蔽的坑如果你先su - zhangsan切換了用戶再在同一個Shell里執(zhí)行whoami輸出的是zhangsan而不是root。但如果你用sudo -u zhangsan執(zhí)行結(jié)果會受sudo配置影響。所以在排障的時候如果發(fā)現(xiàn)執(zhí)行命令的人和登錄的人對不上多半是發(fā)生了用戶切換。結(jié)合后面要講的last命令就能拼出完整的操作軌跡。2. 查看登錄用戶的底層檔案utmp、wtmp、btmp 三個文件光會敲命令不算真懂你得知道這些命令的數(shù)據(jù)從哪來。Linux 把登錄信息存在三個二進制文件里絕大多數(shù)查登錄的命令都是在讀它們文件路徑記錄內(nèi)容誰來寫utmp/var/run/utmp當前在線會話who、w、users讀取它wtmp/var/log/wtmp歷史登錄/登出記錄last讀取它btmp/var/log/btmp失敗登錄記錄lastb讀取它utmp里的記錄是動態(tài)的用戶登錄時寫入、登出時刪除所以它永遠只反映此刻誰在線。wtmp是追加寫入只增不減記錄每一次完整的登錄和登出會話。這也是為什么重啟服務(wù)器后last依然能看到過去的記錄——它讀的是磁盤里的wtmp不是內(nèi)存。btmp是個容易被忽略的存在但它恰恰是排查暴力破解的第一手資料。每次SSH密碼輸錯Linux都會往btmp里寫一條失敗記錄用lastb可以查看$ sudo lastb root ssh:notty 118.31.xx.xx Tue Jan 14 03:22 - 03:22 (00:00) admin ssh:notty 118.31.xx.xx Tue Jan 14 03:22 - 03:22 (00:00)你不難發(fā)現(xiàn)lastb輸出的頭幾行經(jīng)常是亂糟糟的一堆陌生IP后面跟的全是常見用戶名這是典型的自動化爆破特征。所以我的習(xí)慣是每天瞄一眼lastb | head -20比看什么安全設(shè)備告警都來得直接。還有個文件容易被遺忘/var/run/utmp在系統(tǒng)重啟后會被清空重建這也是為什么who只能看到本次開機以來的在線用戶——重啟前的登錄會話全部斷線了自然就不算當前登錄。3. 翻開歷史賬本last 和 lastlog 的正確用法在線用戶只是一瞬間的狀態(tài)排查問題的時候你往往更關(guān)心誰在什么時候登錄過、這個賬號有沒有被使用過。3.1 last完整的登錄/登出流水賬last讀的是wtmp輸出每次會話的記錄$ last root pts/0 192.168.1.10 Mon Jan 13 09:23 still logged in zhangsan pts/1 192.168.1.23 Mon Jan 13 10:02 still logged in lisi pts/2 192.168.1.34 Mon Jan 13 10:45 still logged in root pts/0 192.168.1.10 Mon Jan 12 09:23 - 18:30 (09:07) reboot system boot 2.6.32-642.el6 Mon Jan 12 08:00 still running注意幾類特殊輸出still logged in這次會話還沒登出就是當前在線reboot system boot系統(tǒng)啟動記錄wtmp里會寫所以last能看出系統(tǒng)何時重啟過- 18:30表示登出時間括號里是該會話的總時長last支持按用戶名過濾比如只看 root 的登錄歷史$ last root也可以看某個終端的歷史$ last pts/0這個命令在審計場景特別有用。舉個例子有次同事說某個配置文件被改了但都否認是自己改的我用last拉出最近兩天所有登錄過這臺機器的人再配合history時間戳一對比幾分鐘就定位到了。3.2 lastlog每個賬號的最后一次登錄登記表lastlog讀的是/var/log/lastlog它會列出系統(tǒng)里所有有登錄記錄的賬號其實是所有UID達到閾值的用戶輸出每個賬號最后一次登錄的時間和來源$ lastlog Username Port From Latest root pts/0 192.168.1.10 Mon Jan 13 09:23:28 0800 2025 daemon **Never logged in** bin **Never logged in** zhangsan pts/1 192.168.1.23 Mon Jan 13 10:02:11 0800 2025注意last和lastlog的區(qū)別last看每一次會話是流水賬lastlog看每個賬號的最后一次是一張匯總表lastlog最大的價值在于發(fā)現(xiàn)異常存活的賬號。比如一個系統(tǒng)里有一百個賬號看著都正常但跑一遍lastlog發(fā)現(xiàn)其中二十個顯示**Never logged in**而這些賬號偏偏能SSH登錄這就要警惕了——正常沒人用的賬號通常會被鎖掉。3.3 登錄記錄文件會無限增長嗎會所以要學(xué)會管理wtmp和btmp是追加寫入的二進制文件日子久了體積會膨脹。尤其btmp如果服務(wù)器常年被暴力掃描可能幾個月就長到幾個GB。我在生產(chǎn)環(huán)境見過 8GB 的btmplastb一執(zhí)行直接卡住。常規(guī)做法是用 logrotate 管理這兩個文件。系統(tǒng)一般自帶配置在/etc/logrotate.d/下會有對應(yīng)規(guī)則但要確認一下實際生效情況。我自己維護的服務(wù)器會單獨加上按周輪轉(zhuǎn)、保留4周的策略/var/log/btmp { weekly rotate 4 compress missingok }還有個小技巧日志輪轉(zhuǎn)之后lastb默認只讀當前的btmp要看上一周的得用lastb -f /var/log/btmp.1.gz配合zcat來處理這個到用的時候再查就行。4. 實戰(zhàn)排查從有用戶在線到定位異常會話的完整鏈路命令都認識了接下來聊聊真正的工作場景。這里我挑三個最常見的訴求展開判斷卡頓是否與登錄用戶有關(guān)、找出長時間不動的僵尸會話、識別可疑的登錄來源。4.1 系統(tǒng)變卡先用 w 看負載和現(xiàn)場命令服務(wù)器突然變卡登錄上去第一步我會敲$ w 11:30:15 up 30 days, 5:02, 5 users, load average: 15.08, 12.03, 9.05 USER TTY FROM LOGIN IDLE JCPU PCPU WHAT root pts/0 192.168.1.10 09:23 0.00s 0.12s 0.02s w zhangsan pts/1 192.168.1.23 10:02 1:02 12.5s 11.3s python3 /tmp/check.py lisi pts/2 192.168.1.34 10:45 0.05s 0.03s 0.02s top重點看兩個地方load average和WHAT列。如果負載很高而某個用戶的WHAT列顯示一個你不知道的進程持續(xù)在跑十有八九問題就在這個會話上。上面這個例子zhangsan在跑/tmp/check.pyCPU時間累計了 12.5 秒繼續(xù)跟蹤就應(yīng)該順著流程去看這個進程到底在干什么$ ps -ef | grep check.py $ ls -l /proc/pid/cwd/proc/pid/cwd可以顯示進程的工作目錄寫腳本的服務(wù)器上這個技巧幾乎每天都要用。4.2 空會話和僵尸終端IDLE 高到離譜的會話怎么清理w輸出里的IDLE列超過幾個小時甚至幾天的會話基本可以斷定是無用的遺留會話。比如某天你看到$ w USER TTY FROM LOGIN IDLE JCPU PCPU WHAT olduser pts/5 10.0.0.55 2025-01-05 14:20 22:15m 0.02s 0.01s -bash22:15m表示空閑了22小時15分鐘這種會話占著終端資源雖然不會直接拖垮系統(tǒng)但如果批量存在也會占用大量pts設(shè)備號導(dǎo)致新連接分配不到終端。處理僵尸會話的步驟我一般這么走先確認該用戶的會話數(shù)who -u看第二列終端號確認沒有關(guān)鍵任務(wù)在跑ps -ef | grep pts/5排除掉還在跑的進程殺掉會話對應(yīng)的進程或者直接踢掉pkill -9 -t pts/5這個操作不是隨手就能做的。生產(chǎn)服務(wù)器上一個掛著vim沒保存的會話被強殺數(shù)據(jù)就丟了。所以我給自己定了個規(guī)矩踢會話之前至少ps -t pts/5看一眼有沒有正在編輯的進程。4.3 可疑來源IP一眼識別非內(nèi)網(wǎng)登錄運維的服務(wù)器一般只開放了內(nèi)網(wǎng)SSH如果w或者who里出現(xiàn)陌生的公網(wǎng)IP這就要立刻警覺了。比如$ who root pts/0 192.168.1.10 2025-01-13 09:23 admin pts/3 185.220.101.4 2025-01-13 11:05內(nèi)網(wǎng)網(wǎng)段是192.168.1.x突然冒出一個185.x.x.x的登錄來源地明顯不對就要走異常排查流程先看歷史記錄確認這個IP是不是第一次出現(xiàn)last | grep 185.220.101.4看失敗記錄里有沒有大量嘗試lastb | grep 185.220.101.4 | wc -l看這個會話的WHAT列在做什么命令立刻決定是否踢出pkill -9 -t pts/3再補充一個細節(jié)如果你發(fā)現(xiàn)last里某個用戶的登錄記錄全來自陌生IP而他自己說沒登錄過那就要考慮賬號密碼泄露了第一時間passwd 用戶名重置密碼同時把所有在線會話踢掉然后去~/.ssh/authorized_keys里檢查有沒有多出來的公鑰。別問我是怎么知道要查這玩意的都是教訓(xùn)換來的。4.4 盯著登錄動態(tài)watch 命令組合拳排查不是一次性動作很多時候你需要持續(xù)觀察。我最常用的組合是$ watch -n 1 who; echo ---; wwatch -n 1表示每秒鐘刷新一次隨時能看到有沒有新會話進來、已有會話在跑什么命令。這在多人共用一臺測試機、排查誰又在亂執(zhí)行命令的場景里特別好使。想要記成日志的話可以加個時間戳追加到文件$ while true; do date /tmp/login_monitor.log; w /tmp/login_monitor.log; sleep 60; done這種粗糙的方案在應(yīng)急場景比裝監(jiān)控系統(tǒng)快得多勝在五分鐘內(nèi)就能跑起來。5. 面試被追問的隱藏維度終端類型、切換用戶與 仍然登錄中這個標題在面試題里出現(xiàn)的頻率挺高的但面試官一般不會只滿足于背命令?；谖仪懊嬷v的內(nèi)容有幾個經(jīng)常被追問的細節(jié)值得單獨拎出來說。5.1 TTY 和 PTS 到底代表什么who輸出的第二列pts/0、pts/1、tty1這些面試時經(jīng)常被拿來作文章。tty1~tty6本機物理終端按下 CtrlAltF1~F6 切換的那種pts/N遠程終端或偽終端SSH登錄、xshell、securecrt 連接都屬于這類更底層的說法是pts是 pseudo-terminal slave 的縮寫它由sshd等程序動態(tài)分配所以你SSH登錄一次pts的編號通常會加1。同一個用戶多次SSH會占用多個不同的pts/N在who里就會有這個用戶的多個登錄記錄。5.2 reboot 記錄為什么也會出現(xiàn)在 last 里這是一個很能拉開差距的細節(jié)。last會輸出系統(tǒng)啟動記錄是因為wtmp在系統(tǒng)啟動時會被寫入一條reboot記錄。這條記錄的 TTY 列顯示system bootFROM 列顯示內(nèi)核版本。所以當你用last排查問題時可以順便確認系統(tǒng)何時重啟過比如$ last reboot reboot system boot 5.4.0-26-generic Mon Jan 13 08:00 still running要是想單獨看所有重啟記錄last reboot是最快的命令沒有之一。5.3 su 和 sudo 切換后的表面身份與真實身份表面上who看到的是登錄用戶名但如果你在會話里執(zhí)行了su或者sudo后續(xù)命令的真實執(zhí)行身份已經(jīng)變了。這時候有幾個命令可以確認我到底是以什么身份在干活$ id -u # 顯示當前有效用戶的UID $ whoami # 顯示當前有效用戶名 $ logname # 顯示最初登錄的用戶名如果依次su了多次這個依然是最早那個logname是個冷門命令但它有個獨特價值whoami會隨su切換而變化logname不會。所以在面試里可以這樣答whoami回答的是當前有效身份logname回答的是初始登錄身份兩個命令在排查提權(quán)和身份切換場景時需要配合使用。5.4 last 狀態(tài)全解析from 里的 IP 和 still logged in 的判斷邏輯last的輸出有個很容易讀錯的點如果會話正常退出你會看到- 登出時間如果會話還在線你會看到still logged in。這兩個狀態(tài)的判斷依據(jù)就是utmp里的對應(yīng)記錄是否已被清除。所以last和who拿到的是同一套數(shù)據(jù)只是last還能對比出歷史完整鏈路而who只能看此刻的快照。有次一個同事問我為什么last里顯示某用戶 still logged in但who里看不到這個人這種情況多半是會話異常中斷utmp記錄殘留了。處理方法是把對應(yīng)終端的進程清一遍或者直接重啟一下 sshd。反正記住一點who看不見了但last還說留著說明會話異常斷開屬于需要清理的爛尾會話。6. 實際維護中我沉淀下來的一套查登錄習(xí)慣前面講的知識點比較多最后分享一點我實際干活時的操作習(xí)慣。單獨看每個命令都很簡單但組合起來能覆蓋絕大多數(shù)日常需求。我自己的例行巡檢是這么做的SSH 上去先執(zhí)行w看當前用戶、負載、正在執(zhí)行的命令這一步能篩出90%的表面問題然后last | head -20確認最近有沒有異常的登錄來源最后lastb | head -20看有沒有明顯的爆破試探。三條命令不到十秒一臺機器的登錄健康度基本心里有數(shù)。如果是排查具體某個用戶的操作軌跡我會按時間線串聯(lián)last 用戶名定位這個用戶最近幾次登錄的終端、IP、時間who -u 用戶名確認該用戶當前是否在線、在哪個終端ps -t pts/N看這個終端的進程列表尤其是還活著的命令需要時翻.bash_history對照時間戳還原操作再分享一個很多人忽略的點如果你管理的服務(wù)器較多建議把常用的查登錄命令統(tǒng)一封裝成一個腳本輸出格式固定批量執(zhí)行時能省大量時間。我自己寫過一個簡單的巡檢腳本核心邏輯就是執(zhí)行w、last、lastb三個命令把結(jié)果歸檔到固定目錄每天定時跑一次。不求花哨勝在穩(wěn)定省心。最后想提醒一句w命令輸出的load average是整機的平均負載它并不是當前登錄用戶造成的兩者有可能是巧合。所以看到高負載先別急著怪在線用戶還要結(jié)合top、iostat這些工具往下查。這也是面試官最愛挖的坑之一一上來就說負載高肯定是因為有人在亂跑命令這種答案一看就是背出來的缺少實際排查經(jīng)驗支撐。把這些命令吃透不光是為了應(yīng)付面試更是為了在服務(wù)器真正出問題的時候你手里有足夠多的工具去定位和還原現(xiàn)場。我見過不少運維同行遇到有異常登錄第一反應(yīng)是把密碼改了、把用戶踢了但從來沒想過先去看last完整還原一遍操作軌跡——這才是這個題目背后真正值錢的東西。