怎样查看用户登录日志

查看用户登录日志的方法取决于操作系统和日志管理工具。下面按常见场景给你一份速查指南。

一、Linux 系统

1. 查看最近登录记录（最常用）

last

• 显示所有用户登录/注销历史
• 数据来源：/var/log/wtmp

只看某个用户：

last username

2. 查看失败登录记录（暴力破解、异常登录）

lastb

• 需要 root 权限
• 数据来源：/var/log/btmp

3. 查看当前登录用户

who
w

• who：当前登录用户
• w：更详细（IP、正在执行的命令）

4. 查看系统日志（推荐）

使用 journalctl（systemd 系统）

journalctl -u sshd

查看 SSH 登录日志：

journalctl -u sshd | grep "Accepted"

查看失败登录：

journalctl -u sshd | grep "Failed"

5. 查看传统日志文件

/var/log/secure        # CentOS / RHEL
/var/log/auth.log      # Ubuntu / Debian

示例：

grep "Accepted" /var/log/secure
grep "Failed" /var/log/secure

二、Windows 系统

1. 事件查看器（图形界面）

1. 打开 事件查看器
2. 路径：

Windows 日志 → 安全

3. 常用事件 ID：

• 4624：成功登录
• 4625：登录失败
• 4634：用户注销

2. 命令行查看（PowerShell）

Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624}

查看失败登录：

Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625}

三、常见登录日志文件汇总

四、实用排查示例

查看谁在什么时候登录过服务器

last | head

查看是否有暴力破解

lastb | head

查看某 IP 是否登录成功

grep "Accepted.*192.168.1.100" /var/log/secure

如果你能告诉我：

• ✅ Linux 还是 Windows
• ✅ 是否查看 SSH / 远程桌面
• ✅ 是否排查安全问题

我可以给你更精确的命令或脚本。