查看服务器登录记录是保障系统安全的核心环节，也是运维人员进行日常审计和故障排查的基础工作。核心上文归纳是：通过系统内置的命令行工具（如Linux下的last、lastb、who）或直接分析关键日志文件（如/var/log/secure、/var/log/auth.log、Windows事件查看器），管理员可以精准追踪用户登录行为、识别异常访问并溯源安全事件。 掌握这些方法不仅能了解“谁在什么时候登录”,更能通过分析IP地址和时间戳发现潜在的暴力破解或未授权访问。
Linux服务器登录记录查看详解
在Linux环境中，登录记录主要保存在特定的二进制日志文件和文本日志中,通过不同的命令可以读取这些信息。
查看成功登录历史：last命令
last命令是查看服务器成功登录记录最直接的工具，它读取/var/log/wtmp文件，该文件记录了所有成功登录系统的用户信息，包括重启记录。
执行last后，输出信息通常包含以下几列：用户名、终端位置（如pts/0表示远程SSH，tty1表示本地终端）、登录来源IP或主机名、登录时间以及持续时间。
为了更高效地分析，管理员常结合参数使用。last -n 20仅显示最近20条记录，避免信息过载；last -x可以显示系统关机和重启的时间线，有助于判断登录前后的系统状态变化，如果需要查看特定IP的登录记录，可以使用管道命令，如last | grep 192.168.1.100,这对于追踪特定来源的访问非常有用。
查看失败登录尝试：lastb命令
安全审计中，失败的登录尝试往往比成功的记录更重要，因为它们可能预示着暴力破解攻击。lastb命令读取/var/log/btmp文件，该文件专门记录登录失败的信息。
执行lastb会显示所有尝试输入密码但验证失败的用户名、IP及尝试时间，如果输出结果非常长，且显示大量重复的root或常见用户名尝试，这通常是SSH暴力破解的迹象，管理员应重点关注高频失败的IP地址，并将其加入防火墙黑名单（如/etc/hosts.deny或通过iptables/firewalld拒绝）。
查看当前在线用户：w和who命令
实时监控当前谁在服务器上操作是防止内部误操作或即时响应入侵的关键。w命令比who更详细，它不仅显示登录用户、终端、IP和登录时间，还显示了用户当前正在执行的命令以及CPU占用情况，这对于判断用户是否在进行合法操作至关重要，如果发现一个非运维账号正在执行wget或vim /etc/passwd等敏感操作,应立即介入处理。
深度分析安全日志：/var/log/secure或/var/log/auth.log
对于CentOS/RHEL系统，/var/log/secure是安全日志的核心；对于Ubuntu/Debian系统，则是/var/log/auth.log，这些文本日志记录了SSH服务的详细认证过程。
使用grep "Accepted" /var/log/secure可以筛选出所有成功的SSH会话，包含具体的SSH协议版本和指纹哈希，而使用grep "Failed password" /var/log/secure则能详细列出每一次密码验证失败的细节，通过分析这些日志，可以发现攻击者尝试利用的漏洞类型或猜测的用户名模式，从而制定更精准的防御策略,如禁用密码登录仅限密钥登录。
Windows服务器登录记录查看详解
Windows服务器主要通过“事件查看器”来管理登录日志，其逻辑与Linux不同，主要依赖事件ID（Event ID）进行分类。
打开事件查看器与定位日志
可以通过运行eventvwr.msc打开事件查看器，在左侧菜单中，展开“Windows 日志”并点击“安全”，这里记录了所有的安全审计事件，包括登录、注销、对象访问等。
识别关键事件ID
在Windows安全日志中，并非所有事件都代表登录,需要通过事件ID进行筛选：
- 事件ID 4624：表示登录成功，这涵盖了本地登录、网络登录和远程桌面（RDP）登录，在详细信息中，需要关注“登录类型”字段，登录类型
10通常代表RDP远程桌面登录，3代表网络登录（如共享文件访问），2代表交互式登录（本地控制台）。 - 事件ID 4625：表示登录失败，这是检测暴力破解的关键，详细信息中会显示失败的原因（如“用户名错误”或“密码错误”）以及尝试登录的客户端IP。
- 事件ID 4740：表示账户被锁定，如果启用了账户锁定策略，频繁的错误登录会导致此事件,这通常是攻击发生的直接证据。
筛选与定制视图
由于安全日志量巨大，直接查看非常困难，建议使用“筛选当前日志”功能，将事件ID设置为4624或4625，可以创建自定义视图，专门监控特定时间段或特定用户的登录行为,将关注点聚焦于核心数据。
安全审计与异常处理的专业建议
仅仅查看记录是不够的,建立一套基于日志的响应机制才是专业运维的体现。
建立自动化监控与报警
人工定期查看日志效率低下且滞后，建议部署日志监控工具（如ELK Stack、Graylog）或使用轻量级的脚本（如Logwatch、Fail2Ban）。Fail2Ban是一个极佳的解决方案，它能自动扫描/var/log/secure等日志文件，发现多次失败的IP后自动更新iptables规则，将其封禁,从而实现防御自动化。
关注异常时间与地理位置
在审计时，应重点留意非工作时间的登录记录，凌晨3点的成功RDP登录对于国内业务服务器来说极大概率是异常行为，结合IP地理位置库，如果发现来自高风险国家或非业务覆盖地区的IP登录,应立即强制断开该会话并重置密码。
日志的留存与防篡改
攻击者在入侵成功后的第一件事往往是清除日志，必须确保日志的持久化，建议配置日志服务器，将服务器的日志实时同步到另一台独立的机器上，或者使用wtmp、btmp文件的不可变属性（chattr +a）防止被删除，这保证了在发生安全事故后,依然有据可查。
相关问答
Q1：如何判断服务器是否正在遭受SSH暴力破解攻击？
A：可以通过执行lastb命令查看登录失败记录，如果发现某个IP地址在短时间内产生了大量的失败记录，且尝试的用户名多为root、admin等常见账户，或者看到/var/log/secure日志中频繁出现”Failed password”字样，即可判定服务器正在遭受暴力破解，此时应立即使用防火墙规则封禁该源IP,并考虑更改SSH默认端口或禁用密码登录。
Q2：Windows服务器日志中，事件ID 4624和4634有什么区别？
A：事件ID 4624记录的是“账户登录成功”的时刻，即建立了会话；而事件ID 4634记录的是“账户注销”的时刻，即会话结束，通过对比这两个事件的时间戳，可以精确计算出用户在服务器上的停留时长，如果只有4624而没有对应的4634,可能意味着会话异常断开或系统非正常关机。
互动
如果您在查看服务器日志时发现了无法解释的异常登录记录，或者对如何配置自动化的日志封禁策略有疑问，欢迎在评论区分享具体的日志片段或描述您的困惑,我们将为您提供进一步的分析建议。
