查看服务器登录IP主要依赖于系统日志分析和会话管理命令,在Linux环境中，核心工具包括last、who及/var/log/目录下的日志文件；在Windows环境中，则主要通过“事件查看器”查看安全日志或使用PowerShell命令，掌握这些方法不仅能确认当前在线用户，还能追溯历史登录行为，从而有效排查安全隐患和进行运维审计。
Linux系统查看登录IP的详细方案
Linux服务器作为互联网基础设施的主流,其日志记录机制非常完善，查看登录IP通常分为查看当前在线用户和查看历史登录记录两个维度。
使用last命令查看历史登录记录
last命令是Linux下查看登录历史最常用的工具，它会读取/var/log/wtmp文件，该文件记录了所有系统的重启和用户登录事件。
- 基本用法：直接输入
last，系统会列出从最早到最近的登录列表，输出信息包含用户名、登录终端、来源IP、登录时间及持续时间。 - 反向查看：使用
last -n 10可以只查看最近10条记录，方便快速定位最新的登录情况。 - 查看失败记录：使用
lastb命令可以读取/var/log/btmp文件，专门用于显示登录失败尝试，这对于服务器遭受暴力破解攻击时的溯源至关重要，管理员可以通过此命令发现异常的IP地址。
使用who和w命令查看当前在线用户
如果只需要确认此时此刻有哪些人连接在服务器上，这两个命令更加直观。
who命令：显示当前登录的所有用户、使用的终端、登录时间以及来源IP或主机名，它输出简洁，适合快速查看。w命令：功能比who更强大，它不仅显示登录用户和IP，还显示用户正在执行的命令、CPU占用率、系统负载等信息，通过w命令，管理员可以判断某个IP连接进来后是否在执行异常的高消耗操作。
直接分析系统日志文件
对于需要更详细、更定制化信息的场景，直接查看日志文件是专业运维人员的首选。
- 主流日志路径：在基于Debian/Ubuntu的系统中，登录日志主要存放在
/var/log/auth.log；在基于CentOS/RHEL的系统中，则存放在/var/log/secure。 - 核心筛选技巧：使用
grep命令过滤关键信息，使用grep "Accepted" /var/log/auth.log可以只查看登录成功的记录，输出中会包含sshd进程、用户名以及from后面的IP地址，通过分析这些日志，可以结合awk或sed工具统计出高频登录的IP，为防火墙策略提供数据支持。
Windows系统查看登录IP的详细方案
Windows Server系统提供了图形化的界面和强大的命令行工具（PowerShell）来追踪登录活动。
事件查看器（Event Viewer）
这是Windows系统自带的日志管理工具，记录了详细的系统活动。
- 操作路径：打开“运行”，输入
eventvwr.msc，导航到“Windows日志” -> “安全”。 - 关键事件ID：在安全日志中，需要关注特定的事件ID。事件ID 4624表示登录成功，事件ID 4625表示登录失败，事件ID 4634表示注销。
- 详细信息解析：双击打开事件ID 4624的日志，在“详细信息”选项卡中可以找到“IpAddress”字段，这里明确记录了远程桌面（RDP）或其他服务登录时使用的源IP地址，通过筛选器，可以设置仅查看特定ID的事件，从而快速定位登录记录。
使用PowerShell命令
对于需要批量处理或自动化审计的场景，图形界面效率较低，PowerShell提供了更高效的解决方案。
- 查询安全日志：可以使用
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624}命令来获取所有登录成功的事件。 - 格式化输出：结合
Select-Object和Format-List，可以提取出TimeCreated（时间）、Message（消息，包含IP）等关键字段，专业的管理员通常会编写脚本，将提取到的IP地址与内部白名单进行比对，一旦发现陌生IP立即触发警报。
Web服务器日志与登录IP的关联分析
除了系统层面的SSH或RDP登录,Web服务器的应用层登录（如WordPress后台、企业管理系统）也是攻击者的重点目标。
Nginx与Apache访问日志
Web服务器的每一次请求都会记录在访问日志中，当用户在Web应用中点击“登录”按钮时，会向服务器发送一个POST请求。
- 日志定位：Nginx的日志通常在
/var/log/nginx/access.log，Apache则在/var/log/apache2/access.log。 - 分析逻辑：通过
grep或awk分析日志，筛选出POST请求到登录页面（如/wp-admin/login.php）的记录，即可获取发起登录请求的客户端IP，虽然这不能直接代表登录成功，但结合HTTP状态码（如200表示页面加载成功，302表示跳转），可以辅助判断登录行为。
专业的安全建议与自动化解决方案
单纯依靠人工查看日志在应对大规模攻击时往往滞后,建立自动化的监控机制是保障服务器安全的必由之路。
部署日志分析系统
对于拥有多台服务器的大型环境，建议使用ELK（Elasticsearch, Logstash, Kibana）栈或Graylog等日志集中管理平台，将所有服务器的认证日志推送到统一平台，通过Kibana的可视化仪表盘，可以实时监控全球范围内的登录来源，并设置基于IP频率的告警规则。
使用Fail2Ban或DenyHosts
在Linux服务器上，部署Fail2Ban工具可以自动监控/var/log/auth.log等文件，一旦检测到某个IP在短时间内多次尝试登录失败，Fail2Ban会自动调用iptables规则将该IP封禁，从而在源头阻断暴力破解。
定期审计与IP白名单
管理员应养成定期审计登录日志的习惯，重点关注非工作时间的异地登录，对于关键服务器，务必配置安全组策略或防火墙规则，仅允许受信任的IP地址段（如公司办公网络IP）进行SSH或RDP连接，拒绝全网暴露。
相关问答
问题1：如何查找Linux服务器上特定用户的登录历史？
解答： 可以结合使用last命令和管道符过滤，要查找用户“root”的登录历史，可以使用命令last root，如果需要更详细的日志分析，可以使用grep "root" /var/log/auth.log | grep "Accepted"，这将显示所有root用户成功登录的详细日志条目，包括精确的时间戳和来源IP。
问题2：Windows服务器日志太大，如何快速找到最近一次远程桌面登录的IP？
解答： 最快的方法是使用PowerShell进行筛选和排序，可以使用命令：Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624} -MaxEvents 1 | Select-Object TimeCreated, Message，这条命令会查找安全日志中最近一次发生的登录成功事件（ID 4624），并显示其时间和详细信息，在Message中即可找到对应的IpAddress。
能帮助您高效地管理服务器安全，如果您在具体操作中遇到命令报错或日志路径不同的情况，欢迎在评论区留言，我们将为您提供针对性的技术支持。
