Question

我最近看到（使用finger）我不使用的用户登录了我的系统。为了保证系统安全，我使用userdel命令删除了用户。

我知道last <username>将显示用户上次登录的时间。但显然它不会显示我删除的用户的登录数据。有没有办法检查该用户何时登录？

Answer 1

last（1）命令不关心用户是否被删除。尝试：

# last -s -30days | grep <username>

如果启用了sar（1），其进程记帐可以显示一些细节。

提示：当您删除用户时，您销毁了他们的shell历史文件。下次，请禁用以下帐户：

# chsh -s /sbin/nologin <user>

并仔细阅读他们的文件。