在linux中如何能得知一个用户的创建时间？

myhan

用useradd创建的用户有log的吧？/var/log/secure
我用的是centos 5.2

Feb 10 10:53:06 dev useradd[3344]: new group: name=xxx, GID=503
Feb 10 10:53:06 dev useradd[3344]: new user: name=xxx, UID=502, GID=503, home=/home/xxx, shell=/bin/bash

想发芽的石头

原帖由 myhan 于 2009-2-11 11:13 发表
用useradd创建的用户有log的吧？/var/log/secure
我用的是centos 5.2

Feb 10 10:53:06 dev useradd[3344]: new group: name=xxx, GID=503
Feb 10 10:53:06 dev useradd[3344]: new user: name=xxx, UID=50 ...

1. Feb 11 11:30:45 localhost useradd[13891]: new group: name=test, gid=512
   
2. Feb 11 11:30:45 localhost useradd[13891]: new user: name=test, uid=512, gid=512, home=/home/test, shell=/bin/bash
   
3. Feb 11 11:31:11 localhost userdel[13895]: delete user `test'
   
4. Feb 11 11:31:11 localhost userdel[13895]: remove group `test'
   
5. Feb 11 11:35:14 localhost sshd[14006]: Accepted password for test from ::ffff:10.214.6.65 port 54982 ssh2

复制代码

测试通过，不仅可以看到创建信息，而且可以看到用户删除和密码修改的信息。谢谢。
PS:“Accepted password ”信息只有在本用户修改自己的密码时才会产生，用root修改test用户密码时不会产生这个信息。

[ 本帖最后由 想发芽的石头 于 2009-2-11 11:37 编辑 ]

chenyx

原帖由 想发芽的石头 于 2009-2-11 11:32 发表


Feb 11 11:30:45 localhost useradd[13891]: new group: name=test, gid=512
Feb 11 11:30:45 localhost useradd[13891]: new user: name=test, uid=512, gid=512, home=/home/test, shell=/bin/bash
Feb ...

好哇,看来需要多研究下系统日志了

ynchnluiti

debian
/var/log/auth.log

copywu

如果是被入侵的系统，我想黑客不会愚蠢到留下这些日志吧， 呵呵

infernor

原帖由 myhan 于 2009-2-11 11:13 发表
用useradd创建的用户有log的吧？/var/log/secure
我用的是centos 5.2

Feb 10 10:53:06 dev useradd[3344]: new group: name=xxx, GID=503
Feb 10 10:53:06 dev useradd[3344]: new user: name=xxx, UID=50 ...

现在可以排除系统盲点了

izzy_sec

cat /dev/null > /var/log/wtmp
cat /dev/null > /var/log/messages
cat /dev/null > /var/log/secure

木泥黑

做过必留下痕迹

zizhi009

原来日志也记录了用户得创建啊，去找找看 呵呵。这个东东好啊

rhlei

原帖由 myhan 于 2009-2-11 11:13 发表
用useradd创建的用户有log的吧？/var/log/secure
我用的是centos 5.2

Feb 10 10:53:06 dev useradd[3344]: new group: name=xxx, GID=503
Feb 10 10:53:06 dev useradd[3344]: new user: name=xxx, UID=50 ...

学习了。

不过系统日志也要轮询的~~除非备份日志