在Linux下检查用户行为不仅是网络管理员的事情，也是开发者应该具备的基本技能之一。为什么？因为有时候其他同事在做一些比较耗资源的事情，比如编译大型程序，可能会导致服务器变得很慢，从而影响我们的正常运行。这时候我们就可以用本文介绍的方法找到那个同事，痛打一顿，恢复服务器的正常使用。我是谁？“我是谁？我从哪里来？我要去哪里？”哲学经典中的三大问题。同样，在工作中，有时我们经常切换账号，有时又忘记切换到哪个用户。这时候就需要知道当前登录的用户是谁。我们可以使用whoami来查看。[alvin@VM_0_16_centos~]$whoamialvin当前登录系统的是谁？一个公司通常只有几台服务器，程序员一般都在这几台服务器上工作。我们可以使用who命令来查看当前有哪些用户登录了服务器。[alvin@VM_0_16_centos~]$whoalvinpts/02018-12-0907:25(116.199.***.***)rootpts/12018-12-0911:05(116.199.***.***)alvinpts/22018-12-0911:05(116.199.***.***)harrypts/32018-12-0911:06(116.199.***.***)katepts/42018-12-0911:08(116.199.***.***)alvinpts/52018-12-0911:53(116.199.***.***)在显示的结果中，第一列是用户名；第二列是连接的终端，tty表示监听，pts表示远程连接；第三列是登录时间。这里有更多的信息，但是如果我们只想知道谁在线呢？只需使用用户命令即可查看。[alvin@VM_0_16_centos~]$usersalvinalvinalvinharrykateroot登陆系统的人在做什么？知道谁登录了系统，我们可以进一步调查他们在做什么。w命令用于显示已经登录系统的用户名以及他们正在做什么。此命令使用的信息来自/var/run/utmp文件。[alvin@VM_0_16_centos~]$w16:25:54up29days,6:05,6users,loadaverage:0.00,0.01,0.05USERTTYFROMLOGIN@IDLEJCPUPPUWHATalvinpts/0116.199.***.**07:252.00s0.11s0.00swrootpts/1116.199**.**11:055:20m0.02s0.02s-bashalvinpts/2116.199.***.**11:055:20m0.04s0.05ssshd:alvin[priv]harrypts/3116.199.***.**11:064:33m18.08s18.06swatchdatekatepts/4116.199.***.**11:084:33m10.51s10.48stopalvinpts/5116.199.***.**11:534:32m0.02s0.02s-bash的第一行实际上是与uptime命令的结果相同，依次表示：当前时间、系统运行时间、当前系统登录用户数、平均负载。从第二行开始形成一个表格，一共8列，分别显示每个用户在做什么，以及该用户占用的系统资源。USER：显示登录用户帐户名。如果用户重复登录，该账号也会重复出现。TTY：用户登录所使用的终端。FROM：显示用户登录系统的位置。LOGIN@：表示LOGINAT，表示登录系统的时间。IDLE：用户空闲时间，从用户上一个任务结束算起。JCPU：以终端代号区分，表示一定时间内与该终端相关的所有进程任务消耗的CPU时间。PCPU：指WHAT域中的任务执行完毕后消耗的CPU时间。WHAT：表示当前正在执行的任务。如果我们只想查看某个用户当前的行为，可以直接在w后面加上用户名：[alvin@VM_0_16_centos~]$walvin16:34:21up29days,6:14,6users,loadaverage:0.00,0.01,0.05USERTTYFROMLOGIN@IDLEJCPUPPUWHATalvinpts/0116.199.***.**07:255.00s0.12s0.06ssshd:alvin[priv]alvinpts/2116.199.***.**11:055:28m0.04s0。05ssshd:alvin[priv]alvinpts/5116.199.***.**11:534:40m0.02s0.02s-bash如何知道当前和过去登录过系统的用户信息？有些人很狡猾，做了坏事不承认。但是，在Linux中，每个用户的登录信息都被记录下来，这样寻找相关人员的责任就有了依据。最后一个命令可用于显示特定用户登录系统的历史记录。如果不指定参数，将显示所有用户历史信息。默认情况下，这些消息（显示的消息）将来自/var/log/wtmp文件。该命令的输出包括以下列信息：用户名tty设备号历史登录时间和日期注销时间和日期总工作时间[alvin@VM_0_16_centos~]$lastalvinpts/5116.199.***.**SunDec911:53stillloggedinkatepts/4116.199。***.**SunDec911:08stillloggedinharrypts/3116.199.***.**SunDec911:06stillloggedinharrypts/2116.199.***.**SunDec911:05stillloggedinrootpts/1116.199.***.**SunDec911:05stillloggedinrootpts/0116.199*.**SunDec907:25stillloggedinalvinpts/0116.199.***.**SatDec820:42-23:10(02:28)alvinpts/0119.33.***.**MonDec320:50-23:51(1+03:01)alvinpts/0119.33.***.**ThuNov2920:20-22:45(02:24)alvinpts/0223.104.***.**ThuNov2906:46-07:00(00:14)alvinpts/0223.104。***.**WedNov2820:45-22:27(01:42)alvinpts/114.25.***.***SunNov2519:50-21:09(01:18)alvinpts/0119.33.***。**SunNov2516:32-21:40(05:07)如果我们只想看某个人的历史记录，可以在last之后跟随对应的用户名：[alvin@VM_0_16_centos~]$lastalvinalvinpts/5116.199.***.**SunDec911:53stillloggedinalvinpts/2116.199.***.**SunDec911:05stillloggedinalvinpts/0116.199.***.**SunDec907:25stillloggedinalvinpts/0116。199.***.**SatDec820:42-23:10(02:28)alvinpts/0119.33.***.**MonDec320:50-23:51(1+03:01)alvinpts/0119.33.***.**ThuNov2920:20-22:45(02:24)alvinpts/0223.104.***.**ThuNov2906:46-07:00(00:14)alvinpts/0223.104.***.**WedNov2820:45-22:27(01:42)踢出坏人通过以上命令，我们可以大致了解一些用户的行为。如果我们想干掉坏人，我们可以使用pkill-u命令。pkill-ualvin但是这个命令比较危险，可能会导致系统重启，所以不推荐使用这个命令。更安全的方法是使用pkill命令。[alvin@VM_0_16_centos~]$sudopkill-kill-tpts/3#harry用户被踢出[alvin@VM_0_16_centos~]$w17:04:37up29days,6:44,5users,loadaverage:0.00,0.01,0.05USERTTYFROMLOGIN@IDLEJCPUPPCCPUWHATalvinpts/0116.199.102.6507：255.00S0.12S0.00SWROOTPTS/1116.199.102.6511:055:055:59M0.02S0.02S-BASHALVINPTS/2116.199.102.65102.6511:0511:555:59M0.0.110.10.0.0.09.10.10.10.10.10.10.livemtr12m11.94s11.91stopalvinpts/5116.199.102.6511:535:10m0.02s0.02s-bash
