Como posso descobrir se alguém fez login no meu computador através da massa?

26

Suspeito que um usuário do Windows tenha feito login no meu computador com minha senha. Então, é possível que eu veja um rastro de logon no meu computador?

12.04 windows putty

— J.Doe
fonte

Se essa pessoa teve acesso root ao seu sistema (por meio do sudo, por exemplo), então você não pode ter certeza de que ela não violou os logs.

— Léo Lam

28

Método 1:

Obtenha o histórico de login do usuário a qualquer momento

lastO comando fornecerá o histórico de login para um nome de usuário específico. Se não dermos nenhum argumento para esse comando, ele listará o histórico de login de todos os usuários. Por padrão, essas informações serão lidas no /var/log/wtmparquivo. A saída deste comando contém as seguintes colunas:

Nome de usuário
Número do dispositivo Tty
Data e hora do login
Hora de logout
Tempo total de trabalho

Comando: $last jason

jason   pts/0        dev-db-server   Fri Mar 27 22:57   still logged in
jason   pts/0        dev-db-server   Fri Mar 27 22:09 - 22:54  (00:45)
jason   pts/0        dev-db-server   Wed Mar 25 19:58 - 22:26  (02:28)
jason   pts/1        dev-db-server   Mon Mar 16 20:10 - 21:44  (01:33)
jason   pts/0        192.168.201.11  Fri Mar 13 08:35 - 16:46  (08:11)
jason   pts/1        192.168.201.12  Thu Mar 12 09:03 - 09:19  (00:15)
jason   pts/0        dev-db-server   Wed Mar 11 20:11 - 20:50  (00:39

Método 2:

Você também pode usar o comando lastlogcommand no Linux. Oferece controles mais granulares quanto a intervalos de datas ao examinar os logs de logins do usuário.

Página do manual lastlog:

lastlog - reports the most recent login of all users or of a given user

Exemplo: para descobrir os usuários que efetuaram login em um sistema nos últimos 100 dias.

$ lastlog -b 0 -t 100
Username         Port     From             Latest
sam              pts/0    pegasus          Wed Jan  8 20:32:25 -0500     2014
joe              pts/0    192.168.1.105    Thu Dec 12 12:47:11 -0500 2013

Isso mostra que as últimas vezes em que esses usuários fizeram login neste sistema. O intervalo de tempo mostra os últimos 100 dias. Antes de hoje (-b 0) e depois de 100 dias atrás (-t 100).

Você também pode mostrar todos os usuários, omitindo qualquer intervalo e apenas vendo todos os usuários que já efetuaram login e a última vez que efetuaram login.

— bisbilhoteiro
fonte

4

Como posso excluir meu rastreamento após o login no computador dele? :)

— Katu

Tente substituir um arquivo como este utilizar acesso sudo: >/var/log/wtmp. Isso excluirá todas as últimas informações de log.

— snoop

O legal do wtmp é que ele é um arquivo esparso. Eu posso dizer / se você excluir um registro dele.

— Joshua

8

Você pode usar lastpara mostrar os últimos logins. Há também um arquivo de log para ações específicas de autenticação em/var/log/auth.log