![“last”命令表明某人于 00:00 登录——我们的服务器是否受到了威胁?](https://linux22.com/image/591339/%E2%80%9Clast%E2%80%9D%E5%91%BD%E4%BB%A4%E8%A1%A8%E6%98%8E%E6%9F%90%E4%BA%BA%E4%BA%8E%2000%3A00%20%E7%99%BB%E5%BD%95%E2%80%94%E2%80%94%E6%88%91%E4%BB%AC%E7%9A%84%E6%9C%8D%E5%8A%A1%E5%99%A8%E6%98%AF%E5%90%A6%E5%8F%97%E5%88%B0%E4%BA%86%E5%A8%81%E8%83%81%EF%BC%9F.png)
我注意到,来自罗马尼亚 IP 地址的“最后一个”命令中有以下奇怪的条目:
user pts/0 89.123.111.228 Sat Jul 28 12:48 - 12:48 (00:00)
我想知道这是否意味着我被黑客入侵了?但是它说他们登录了 0 分钟,这是否意味着他们失败了?我在手册页中找不到答案。
答案1
这看起来是一次持续不到一分钟的成功登录。该last
命令默认仅显示成功登录。
您可以通过检查系统日志(例如/var/log/messages
和/var/log/audit/audit.log
)并查找登录和注销事件来确认这一点。
我最近有机会检查了一台被入侵的机器,这次入侵也遵循了类似的模式。第一的成功入侵后,攻击者可能会记录下您的服务器信息,随后将其传递给其他犯罪分子。如果您的系统仍然开放,预计未来几天将有来自世界各地的用户登录。