Linux下查看/管理当前登陆用户及用户操做历史记录

  1、查看及管理当前登陆用户

一、使用w命令查看登陆用户正在使用的进程信息，w命令用于显示已经登陆系统的用户的名称，以及他们正在作的事。该命令所使用的信息来源于/var/run/utmp文件。w命令输出的信息包括：

• 用户名称

• 用户的机器名称或tty号

• 远程主机地址

• 用户登陆系统的时间

• 空闲时间（做用不大）

• 附加到tty（终端）的进程所用的时间（JCPU时间）

• 当前进程所用时间（PCPU时间）

• 用户当前正在使用的命令

$ w23:04:27 up 29 days,  7:51,  3 users,  load average: 0.04, 0.06, 0.02
USER     TTY      FROM              LOGIN@   IDLE   JCPU   PCPU WHAT
ramesh   pts/0    10.1.80.56        22:57    8.00s  0.05s  0.01s sshd: ramesh [priv]
jason    pts/1    10.20.48          23:01    2:53   0.01s  0.01s -bash
john     pts/2    10.1.80.7         23:04    0.00s  0.00s  0.00s w

此外，可使用who am i查看使用该命令的用户及进程，使用who查看全部登陆用户进程信息，这些查看命令大同小异；

二、使用pkill强制退出登陆的用户

使用pkill能够结束当前登陆用户的进程，从而强制退出用户登陆，具体使用能够结合w命令；

首先：使用w查看当前登陆的用户，注意TTY所示登陆进程终端号

其次：使用pkill –9 -t pts/1 结束pts/1进程所对应用户登陆(可根据FROM的IP地址或主机号来判断）

2、查看全部登陆用户的操做历史

        在linux系统的环境下，无论是root用户仍是其它的用户只有登录系统后用进入操做咱们均可以经过命令history来查看历史记录，但是假如一台服务器多人登录，一天由于某人误操做了删除了重要的数据。这时候经过查看历史记录（命令：history）是没有什么意义了（由于history只针对登陆用户下执行有效，即便root用户也没法获得其它用户histotry历史）。那有没有什么办法实现经过记录登录后的IP地址和某用户名所操做的历史记录呢？答案：有的。

经过在/etc/profile里面加入如下代码就能够实现：

PS1="`whoami`@`hostname`:"'[$PWD]'

history

USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`

if [ "$USER_IP" = "" ]

then

USER_IP=`hostname`

fi

if [ ! -d /tmp/dbasky ]

then

mkdir /tmp/dbasky

chmod 777 /tmp/dbasky

fi

if [ ! -d /tmp/dbasky/${LOGNAME} ]

then

mkdir /tmp/dbasky/${LOGNAME}

chmod 300 /tmp/dbasky/${LOGNAME}

fi

export HISTSIZE=4096

DT=`date "+%Y-%m-%d_%H:%M:%S"`

export HISTFILE="/tmp/dbasky/${LOGNAME}/${USER_IP} dbasky.$DT"

chmod 600 /tmp/dbasky/${LOGNAME}/*dbasky* 2>/dev/null

source /etc/profile 使用脚本生效

退出用户，从新登陆

上面脚本在系统的/tmp新建个dbasky目录，记录全部登录过系统的用户和IP地址（文件名），每当用户登陆/退出会建立相应的文件，该文件保存这段用户登陆时期内操做历史，能够用这个方法来监测系统的安全性。

root@zsc6:[/tmp/dbasky/root]ls

10.1.80.47 dbasky.2013-10-24_12:53:08

root@zsc6:[/tmp/dbasky/root]cat 10.1.80.47 dbasky.2013-10-24_12:53:08

查看在12:53:08从10.1.80.47登陆的root用户操做命令历史