LINUX btmp 日志（lastb 命令）

封面图 • 2025-10-25 • Linux

在 Linux 系统中，`btmp` 文件是用于记录失败登录尝试的二进制日志文件。它与 `lastb` 命令配合使用，可以查看系统中所有失败的登录记录。

---

## 🔍 1. btmp 文件的作用

- **`/var/log/btmp`**：记录用户尝试登录失败的信息。
- 每次用户尝试登录（如通过 SSH、Telnet、getty 等）但失败时，都会被记录到这个文件中。
- 这个文件是一个**二进制文件**，不能直接用 `cat` 或 `less` 查看，需要用 `lastb` 命令来解析。

---

## 📌 2. lastb 命令

### ✅ 基本用法：

```bash
lastb
```

这会列出所有失败的登录尝试，包括：

- 用户名
- 登录 IP 地址
- 登录时间
- 尝试次数等信息

### 🧾 示例输出：

```
user1     ssh:notty    192.168.1.100   Mon Jan  1 12:34:56 UTC 2024
root      ssh:notty    192.168.1.101   Mon Jan  1 12:35:01 UTC 2024
```

---

## 🧹 3. 清空 btmp 日志

如果你需要清空失败登录记录（例如为了安全或测试），可以这样做：

```bash
> /var/log/btmp
```

或者：

```bash
truncate -s 0 /var/log/btmp
```

> ⚠️ 注意：这会删除所有已有的失败登录记录，可能影响安全审计。

---

## 🛡️ 4. 安全建议

- **定期检查 `btmp` 和 `wtmp`**：这些日志对系统安全非常重要。
- **限制登录尝试次数**：可以通过 `fail2ban`、`iptables` 或 `sshd_config` 配置限制 IP 的登录尝试次数。
- **保护 `/var/log/btmp`**：确保只有 root 用户有权限访问该文件。

---

## 🧪 5. 其他相关命令

| 命令         | 说明                             |
|--------------|----------------------------------|
| `last`       | 查看成功登录记录（来自 `wtmp`）  |
| `lastb`      | 查看失败登录记录（来自 `btmp`）  |
| `who`        | 查看当前登录的用户               |
| `w`          | 查看当前登录用户和他们的活动     |

---

## 📦 6. 文件位置

- **`/var/log/btmp`**：失败登录记录
- **`/var/log/wtmp`**：成功登录记录

---

如果你需要进一步分析 `btmp` 文件的内容，可以使用以下方法：

### 🧩 使用 `lastb` 解析：

```bash
lastb | grep '192.168.1.100'
```

### 🧩 使用 `cut` 提取特定字段：

```bash
lastb | cut -f1 -d' '
```

---

如需帮助查看具体的某条记录或配置 `fail2ban` 来防止暴力破解，请告诉我！