Dans un système Linux, tout est consigné dans un fichier journal sous le répertoire appelé /var/log. Ce répertoire contient les journaux liés aux différents services et applications. Dans ce répertoire, nous avons des fichiers tels que utmp , wtmp et btmp . Contrairement aux fichiers journaux système et aux fichiers journaux d'authentification, tous ces fichiers sont des fichiers binaires. Ainsi, nous ne pouvons pas utiliser nos outils de texte normaux, tels que less ou grep, pour les lire ou en extraire des informations. Au lieu de cela, nous utiliserons des outils spéciaux capables de lire ces fichiers binaires.
- utmp vous donnera une image complète des connexions des utilisateurs auxquelles les terminaux, les déconnexions, les événements système et l'état actuel du système, le temps de démarrage du système (utilisé par la disponibilité) etc.
- wtmp donne les données historiques de utmp.
- btmp enregistre uniquement les tentatives de connexion infructueuses.
w et qui commande
Les commandes w et who extraient des informations sur les personnes connectées et ce qu'elles font à partir du fichier /var/run/utmp. Si vous souhaitez voir la liste des utilisateurs actuellement connectés, utilisez who :
$ who geek console Jul 1 23:27 geek ttys000 Jul 7 13:13 geek ttys001 Jul 18 18:34
dernière commande
Le dernier La commande indique comment ils se sont connectés, quand ils se sont connectés et quand ils se sont déconnectés, etc., des informations à l'écran.
# last
Nous pouvons également utiliser la dernière commande pour lire également le contenu des fichiers wtmp, utmp et btmp. Par exemple :
# last -f /var/log/wtmp ### To open wtmp file and view its content use blow command. # last -f /var/run/utmp ### To see still logged in users view utmp file use last command. # last -f /var/log/btmp ### To view btmp file use same command.
commande lastb
Vous pouvez consulter l'historique actuel des sessions enregistrées contenues dans /var/run/btmp en tapant :
# lastb
Commande utmpdump
Maintenant, étant donné que les fichiers binaires ne peuvent pas être visualisés à l'aide de commandes de lecture de base telles que cat, less et more, plutôt que de simplement s'appuyer sur des commandes de base telles que last, who, lastb et autres, une approche différente consiste à utiliser la commande utmpdump comme ceci :
# utmpdump /path/to/binary
Donc si vous voulez lire le contenu des fichiers binaires wtmp, utmp ou btmp, utilisez la commande comme :
# utmpdump /var/run/utmp # utmpdump /var/log/wtmp # utmpdump /var/log/btmp