查询登陆成功的用户:

last

单独执行last指令时，它会读取位于/var/log/wtmp的文件，并把该给文件的内容记录的登录系统的用户名单全部显示出来。
如果使用tail、cat命令查看这文件，格式对人类不太友好，还是使用命令比较好。

查询失败的用户:

lastb

单独执行lastb指令，它会读取位于/var/log/btmp的文件，并把该文件内容记录的登入系统失败的用户名单，全部显示出来。

列详解

1. 用户名
   显示成reboot表示：当执行过启动或者重启操作在这里会记录成reboot

2. 终端位置（有多种形式）

   • pts/0 (伪终端或虚拟终端) 意味着从诸如SSH或telnet的远程连接的用户

   yunwei   pts/0        10.x.x.x    Thu Aug  6 14:47 - 15:10  (00:23)
   yunwei   pts/1        10.x.x.x    Thu Aug  6 14:13 - 14:55  (00:41)
   

   • tty (teletypewriter) 意味着直接连接到计算机或者本地连接的用户
   • system boot —— 执行启动或者重启操作

   reboot   system boot  3.10.0-693.el7.x Mon Dec  9 14:18 - 11:25 (241+21:06)1)
   

3. 登陆者的IP or 内核版本

   • 登录ip
   • 内核版本版本（猜测显示这些记录应该是属于系统的操作，如开机，关机，重启等操作）
   • 如果你看见:0.0 或者 什么都没有，这意味着用户通过本地终端连接。

4. 开始时间，其中的日期格式为date +"%a %b %d"

5. 结束时间，或者 still login in（表示还未退出登陆）

6. 登陆持续了多长时间，如果是 still logged in 就会省略持续时间

查前10行和后10行的技巧

这个方法也适合和其它命令配合使用

lastb | head -10

lastb | tail -n 10

参考

https://www.cnblogs.com/felixzh/p/8671205.html