last我在RHEL 上的命令输出中看到可疑模式：
$ last reboot
reboot system boot 3.10.0-514.21.1. Wed Dec 13 10:25 - 11:53 (01:28)
reboot system boot 3.10.0-514.21.1. Mon Oct 30 16:23 - 11:53 (43+20:30)
reboot system boot 3.10.0-514.21.1. Fri Oct 20 16:53 - 11:53 (53+20:00)
reboot system boot 3.10.0-514.21.1. Mon Oct 16 09:21 - 11:53 (58+03:32)
reboot system boot 3.10.0-514.21.1. Fri Aug 25 15:53 - 11:53 (109+21:00)
reboot system boot 3.10.0-514.21.1. Tue Aug 22 15:36 - 11:53 (112+21:16)
reboot system boot 3.10.0-514.21.1. Fri Jul 21 16:38 - 11:53 (144+20:15)
reboot system boot 3.10.0-514.21.1. Fri Jun 9 15:00 - 16:18 (42+01:17)
reboot system boot 3.10.0-514.21.1. Mon Jun 5 11:20 - 16:18 (46+04:57)
reboot system boot 3.10.0-514.21.1. Thu Jun 1 09:49 - 16:18 (50+06:28)
reboot system boot 3.10.0-514.el7.x Wed May 31 17:46 - 09:49 (16:02)
即，第 10 列在几行上显示相同的时间数据（例如，11:53七次，并且16:18三次）。
该man页面没有解释每列应代表什么。
您知道命令输出的第 10 列的用途吗last？
答案1
列出重新启动时，第十列显示启动后的最后一次“停机时间”，IElast据可确定的系统关闭时间。这实际上涉及将系统中存储的信息中的多个记录组合起来；为此，last请跟踪上次看到的停机时间，并在显示“重新启动”行时盲目使用该时间。
这样，如果系统突然关闭，则不会存储关闭时间，而是last使用之前的记录。查看您的结果：
reboot system boot 3.10.0-514.21.1. Wed Dec 13 10:25 - 11:53 (01:28)
reboot system boot 3.10.0-514.21.1. Mon Oct 30 16:23 - 11:53 (43+20:30)
reboot system boot 3.10.0-514.21.1. Fri Oct 20 16:53 - 11:53 (53+20:00)
reboot system boot 3.10.0-514.21.1. Mon Oct 16 09:21 - 11:53 (58+03:32)
reboot system boot 3.10.0-514.21.1. Fri Aug 25 15:53 - 11:53 (109+21:00)
reboot system boot 3.10.0-514.21.1. Tue Aug 22 15:36 - 11:53 (112+21:16)
reboot system boot 3.10.0-514.21.1. Fri Jul 21 16:38 - 11:53 (144+20:15)
reboot system boot 3.10.0-514.21.1. Fri Jun 9 15:00 - 16:18 (42+01:17)
reboot system boot 3.10.0-514.21.1. Mon Jun 5 11:20 - 16:18 (46+04:57)
reboot system boot 3.10.0-514.21.1. Thu Jun 1 09:49 - 16:18 (50+06:28)
reboot system boot 3.10.0-514.el7.x Wed May 31 17:46 - 09:49 (16:02)
last发现一条记录显示12月13日11点53分关闭，然后又找到几条记录显示启动时间；所以它对所有这些都使用了单一的关闭时间。然后它找到了6月9日16点18分之后42天的关闭记录，并多次使用该记录，因为直到6月1日09点49分才找到任何其他关闭记录。
您可以在last源代码;搜索“ lastdown”以查找其更新（和使用）的位置。