Linux 系统日志-secure，btmp，wtmp文件详解
1. 介绍
Linux系统提供了全方位的日志记录。我们登录Linux系统之后做的事情Linux都有相应的日志记录。整个日志系统比较多。这里只介绍和登录比较密切相关的三个日志。
secure，btmp和wtmp这三个日志文件。
2. wtmp日志
首先，介绍wtmp日志文件，该文件记录了所有的登录过系统的用户信息。（PS：只记录了正确登录的用户。密码错误等在btmp文件和secure文件中）
该文件的地址路径为：var/log/wtmp 。wtmp文件是一个二进制文件，无法通过cat或者vim 进行阅读。需要通过命令last进行阅读。
示例如下：
[root@iZuf /]# last -F
root pts/0 我的IP地址 Wed Nov 23 08:43:28 2022 still logged in
...
root pts/0 我的IP地址 Wed Oct 19 16:00:28 2022 - Wed Oct 19 18:16:46 2022 (02:16)
root pts/0 我的IP地址 Wed Oct 19 09:51:51 2022 - Wed Oct 19 10:42:08 2022 (00:50)
...last 命名会默认从wtmp文件中读取数据。所以我们可以不用添加wtmp文件路径，但是如果使用 last -f 就需要我们主动添加wtmp路径了。
上面的数据分别是：
- 登录名：root。
- 打开的终端：pts/0
- 访问者IP：我的ip地址（PS：实际ip 是显示 111,111,111,111格式的）
- 登录时间：Tue Nov 15 11:17:40 2022
- 退出时间：Tue Nov 15 13:14:02 2022
- 耗时：(01:56) 如果显示still logged in。表示当前仍然属于登录状态。
如果我们觉得日期显示阅读不直观，可以通过命令last --time-format 进行日期格式化。示例如下：
[root@iZuf /]# last --time-format iso
...
root pts/0 我的IP地址 2020-08-07T17:05:19+08:00 - 2020-08-07T17:06:39+08:00 (00:01)时间将会变成我们能够直接阅读的格式。（PS：+08:00 只是说明当前日期进行了时区添加，并不代表我们还需要在显示的时间中添加8小时哦）
--time-format 后面的可选参数为：
notime： 不显示时间。示例：(13:34)。只显示登录时长。不显示时间段short：短时间显示。示例：Fri Nov 4 17:53 - 18:03 (00:09)full：按照默认格式显示全部时间。示例：Tue Nov 22 13:48:22 2022 - Tue Nov 22 17:23:19 2022 (03:34)iso：按照iso时间格式显示全部时间。示例：2020-08-07T17:05:19+08:00 - 2020-08-07T17:06:39+08:00 (00:01)
这个文件将会记录全部的登录记录。如果中间出现了不属于我们熟悉的ip登录。那么说明账户密码有泄漏。或者其他非法登录产生。
PS：
-F 命令不能和--time-format一起使用，因为它们两者都对输出的时间格式有影响。
3. btmp 日志
如果说wtmp是记录登录成功的日志。那么btmp就是记录所有尝试登录，但是登录失败的日志。它存储的路径和wtmp文件在同一目录下：/var/log/btmp
同样btmp也是属于二进制文件。无法通过cat或者vim 进行阅读。需要通过命令lastb进行阅读。
last： 阅读的wtmp文件lastb：阅读的btmp文件 这两个指令是有一个字母的区别。千万不要弄混了
这两个命令的 参数可以说是完全一样。可以用于last的也可以用于lastb。
lastb的命令参数如下：
-<number>：要显示多少行-a, --hostlast：在最后一列中显示主机名-d, --dns：将IP地址转换回主机名-f <file>：使用特定文件而不是/var/log/btmp-F, --fulltimes：打印完整的登录和注销时间和日期-i, --ip：以数字和点表示法显示IP号码-n, --limit <number>：要显示多少行-R, --nohostname：不显示主机名字段-s, --since <time>：显示指定时间之后的行 （查询指定时间之后的记录）-t, --until <time>：显示指定时间之前的行 （查询指定时间之前的记录）-p, --present <time>：显示在指定时间内在场的账户-w, --fullnames：显示完整的用户名和域名-x, --system：显示系统关闭条目和运行级别更改--time-format <format>：显示指定格式的时间戳<format>:notime|short|full|iso
PS：
-F 命令不能和--time-format一起使用，因为它们两者都对输出的时间格式有影响。
具体使用示例：（PS：由于内容比较多，就先显示10条记录了）
[root@iZuf /]# lastb -10
liu ssh:notty 170.64.132.128 Wed Nov 23 07:40 - 07:40 (00:00)
sine ssh:notty 170.64.132.128 Wed Nov 23 07:40 - 07:40 (00:00)
ftpUser ssh:notty 170.64.132.128 Wed Nov 23 07:40 - 07:40 (00:00)
sine ssh:notty 170.64.132.128 Wed Nov 23 07:40 - 07:40 (00:00)
liu ssh:notty 170.64.132.128 Wed Nov 23 07:40 - 07:40 (00:00)
chenms ssh:notty 170.64.132.128 Wed Nov 23 07:40 - 07:40 (00:00)
mingjian ssh:notty 170.64.132.128 Wed Nov 23 07:40 - 07:40 (00:00)
liu ssh:notty 170.64.132.128 Wed Nov 23 07:40 - 07:40 (00:00)
sine ssh:notty 170.64.132.128 Wed Nov 23 07:40 - 07:40 (00:00)
ftpUser ssh:notty 170.64.132.128 Wed Nov 23 07:40 - 07:40 (00:00)格式表现为：
第一列显示登录名，第二列显示登录ssh方式很明显 ssh:notty是在使用暴力破解ssh密码。（这也是为什么Linux建议一段时间内跟换密码的原因，当然使用秘钥的安全性要比密码高不少。），第三列显示的就是访问者IP地址了。 之后的就是时间和耗费时长了。
示例,将时间戳进行序列化后显示如下：
[root@iZuf /]# lastb -10 --time-format iso
liu ssh:notty 170.64.132.128 2022-11-23T07:40:24+08:00 - 2022-11-23T07:40:24+08:00 (00:00)
sine ssh:notty 170.64.132.128 2022-11-23T07:40:24+08:00 - 2022-11-23T07:40:24+08:00 (00:00)
ftpUser ssh:notty 170.64.132.128 2022-11-23T07:40:23+08:00 - 2022-11-23T07:40:23+08:00 (00:00)
sine ssh:notty 170.64.132.128 2022-11-23T07:40:23+08:00 - 2022-11-23T07:40:23+08:00 (00:00)
liu ssh:notty 170.64.132.128 2022-11-23T07:40:22+08:00 - 2022-11-23T07:40:22+08:00 (00:00)
chenms ssh:notty 170.64.132.128 2022-11-23T07:40:22+08:00 - 2022-11-23T07:40:22+08:00 (00:00)
mingjian ssh:notty 170.64.132.128 2022-11-23T07:40:22+08:00 - 2022-11-23T07:40:22+08:00 (00