Windows服务器远程登录日志查询方法，linux查看登录日志方法

概述
本文介绍Windows、Linux服务器查询系统的远程登录日志方法。

根据服务器所使用的 *** 作系统不同，有以下两种查询方法。

Linux *** 作系统的登录日志查询
通过远程连接登录Linux服务器，使用root用户执行last命令，系统会列出最近的登录记录。

注：last命令各输出列作用及含义。
· 第一列：用户名。
· 第二列：终端位置。pts/0 （伪终端）指 ssh命令或telnet命令远程连接用户，tty指本地连接用户。
· 第三列：登录IP或者内核 。00或无内容，表示用户从本地终端连接。除重启 *** 作，内核版本会显示在状态中。
· 第四列：开始时间。
· 第五列：结束时间（still logged in 状态：用户未退出，down 状态：直到正常关机，crash 状态：直到强制关机）。
· 第六列：持续时间。

Windows *** 作系统的登录日志查询
1、通过远程连接登录Windows服务器，单击 开始 > 运行（快捷键：win+R），输入eventvwrmsc并单击键盘的 Enter 回车按键，打开 事件查看器。

2、单击 Windows 日志，选中 安全 并右击，单击 查找，打开 查找 框。

3、在 查找内容（N） 处，输入“登录” 进行快速查找登录相关事件。

4、双击查找到的事件，单击 详细信息，查看 IpAddress 字段和 IpPort 字段信息。
注：
· IpAddress 字段记录的是登录过本机的IP地址。
· IpPort 字段记录的是登录过本机的端口

1、桌面我的电脑 右键 选择管理。
2、打开计算机管理 依次选择事件查看器---windows日志---系统。
3、下拉系统记录 就可以看看中间我们离开时是否有其他的开机记录。
4、当然也可以在事情查看器里面选择安全，这样可以看到系统登录开机记录。

你好

win7不存在单独的关机日志,可以打开"是"件查看器查看系统管理"是"件
检查系统日志-->在开始-->运行-->输入:EventVwrmsc-->回车-->打开"事件查看器"等待扫描加载日志完毕后,,自定义视图>管理"是"件,
如果出现红色的错误项,就双击它,就能看见具体的报错信息了然后根据具体的报错信息进行相应的修复
祝顺利,如有帮助,还望及时采纳

事件查看器相当于 *** 作系统的保健医生，查看应用程序、安全性和系统日志，查看是否存在非法登录、系统是否非正常关机、程序执行错误等信息，通过查看事件属性来判定错误产生的来源和解决方法，使 *** 作系统和应用程序正常工作。本文介绍了事件查看器的一些相关知识，最后给出了一个安全维护实例，对安全维护人员维护系统有一定的借鉴和参考。
(一)事件查看器相关知识
1事件查看器
事件查看器是 Microsoft Windows *** 作系统工具，事件查看器相当于一本厚厚的系统日志，可以查看关于硬件、软件和系统问题的信息，也可以监视Windows *** 作系统中的安全事件。有三种方式来打开事件查看器：
(1)单击“开始”-“设置”-“控制面板”-“管理工具”-“事件查看器”，开事件查看器窗口
(2)在“运行”对话框中手工键入“%SystemRoot%\system32\eventvwrmsc /s”打开事件查看器窗口。
(3)在运行中直接输入“eventvwr”或者“eventvwrmsc”直接打开事件查看器。
2事件查看器中记录的日志类型
在事件查看器中一共记录三种类型的日志，即：
(1)应用程序日志
包含由应用程序或系统程序记录的事件，主要记录程序运行方面的事件，例如数据库程序可以在应用程序日志中记录文件错误，程序开发人员可以自行决定监视哪些事件。如果某个应用程序出现崩溃情况，那么我们可以从程序事件日志中找到相应的记录，也许会有助于你解决问题。
(2)安全性日志
记录了诸如有效和无效的登录尝试等事件，以及与资源使用相关的事件，例如创建、打开或删除文件或其他对象，系统管理员可以指定在安全性日志中记录什么事件。默认设置下，安全性日志是关闭的，管理员可以使用组策略来启动安全性日志，或者在注册表中设置审核策略，以便当安全性日志满后使系统停止响应。
(3)系统日志
包含Windows XP的系统组件记录的事件，例如在启动过程中加载驱动程序或其他系统组件失败将记录在系统日志中，默认情况下Windows会将系统事件记录到系统日志之中。 如果计算机被配置为域控制器，那么还将包括目录服务日志、文件复制服务日志;如果机子被配置为域名系统(DNS)服务器，那么还将记录DNS服务器日志。当启动Windows时，“事件日志”服务(EventLog)会自动启动，所有用户都可以查看应用程序和系统日志，但只有管理员才能访问安全性日志。
在事件查看器中主要记录五种事件，事件查看器屏幕左侧的图标描述了 Windows *** 作系统对事件的分类。事件查看器显示如下类型的事件：
(1)错误：重大问题，例如数据丢失或功能损失。例如，如果服务在启动期间无法加载，便会记录一个错误。
(2)警告：不一定重要的事件也能指出潜在的问题。例如，如果磁盘空间低，便会记录一个警告。
(3) 信息：描述应用程序、驱动程序或服务是否 *** 作成功的事件。例如，如果网络驱动程序成功加载，便会记录一个信息事件。
(4)成功审核：接受审核且取得成功的安全访问尝试。例如，用户对系统的成功登录尝试将作为一个“成功审核”事件被记录下来。
(5)失败审核：接受审核且未成功的安全访问尝试。例如，如果用户试图访问网络驱动器但未成功，该尝试将作为“失败审核”被记录下来。
(二)维护服务器安全实例
1打开并查看事件查看器中的三类日志
在“运行”中输入“eventvwrmsc”直接打开事件查看器，在该窗口中单击“系统”，单击窗口右边的类型进行排序，可以看到类型中有警告、错误等多条信息。
2查看系统错误记录详细信息
选择“错误”记录，双击即可打开并查看事件的属性，如图2所示，可以发现该事件为一个攻击事件，其事件描述为：
连接自 211992269 的一个匿名会话尝试在此计算机上打开一个 LSA 策略句柄。尝试被以 STATUS_ACCESS_DENIED 拒绝， 以防止将安全敏感的信息泄露给匿名呼叫者。
进行此尝试的应用程序需要被更正。请与应用程序供应商联系。 作为暂时的解决办法，此安全措施可以通过设置： \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TurnOffAnonymousBlock DWORD 值为 1 来禁用。 此消息将一天最多记录一次。
说明：该描述信息表明IP地址为“211992269”的计算机在攻击此服务器。
3根据提示修补系统漏洞
根据描述信息，直接打开注册表编辑器，依次层层展开找到键值“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TurnOffAnonymous”新建一个DWORD 的 “TurnOffAnonymousBlock Block DWORD” 键，并设置其值为“ 1”，。
说明：如果在事件属性中未给出解决方案，除了在google中寻找解决方法外，还可以对错误信息进行追踪，以找到合适的解决方法，一般有两种方式：
(1)微软知识库。微软知识库的文章是由微软公司官方资料和微软MVP撰写的技术文章组成，主要解决微软产品的问题及故障。当微软每一个产品的Bug和容易出错的应用点被发现后，都将有与其对应的KB文章分析这项错误的解决方案。微软知识库的地址是:>如果你只是想查看一下，从昨天关机到今天开机之间有没有人使用我的计算机，那么使用“查日志”的方法就可以了。在“开始”菜单的运行”中输入“eventvwrmsc”，打开事件查看器，在左侧窗口中选择“系统”，从右侧系统事件中查找事件ID为6005、6006的事件（事件ID号为6005的事件表示事件日志服务已启动，即开机，同理事件ID：6006表示关机），它们对应的时间就分别是开机时间和关机时间。 如果你觉得从这么多事件中找开关机事件太费事，你可以使用“筛选”来使内容简洁。在事件查看器的“查看”菜单中选择“筛选”选项，在属性对话框中选择“筛选器”选项卡，并在其中勾选“信息”、“警告”、“错误”三项，在“事件来源”下拉列表中选择“eventlog”，单击“确定”按钮后，系统事件中的内容就少了很多，我们可以轻易找到最近的开关机时间。 如果你依旧觉得太费事，那在“开始”菜单中的“运行”中输入“C:\WINDOWS\schedlgutxt”，在打开的schedlgutxt文件中有“任务计划程序服务”已启动于和“任务计划程序服务”已退出于的时间，分别对应着开机和关机时间，是不是很方便呢？天天备案也不难如果你想每一次开关机都能清楚地记录在案，那可以用“脚本+批处理”的方法。不过你要亲自动手了，我们使用“脚本+批处理”的方式来实现。只需在开机、关机脚本上添加两个记录时间的批处理命令，让它们随系统启动或关闭记录当时的时间到C:\aaatxt文件中。首先新建两个文本文档，分别用来记录开机和关机信息，输入以下的命令，然后另存为“bat”文件就可以了。其中开机批处理（startbat）如下：@echo off(echo 开机记录echo&echo %date% %time:~0,-3% %username%echo&echo )>>c:\aaatxt 而关机批处理(shutdownbat)命令只要把startbat中的“开机记录”改为“关机记录”即可，其余不变。将上面的两个批处理命令做好后，在“开始”菜单中的“运行”中输入gpeditmsc，打开组策略，依次找到“计算机配置→windows设置→脚本(启动和关机)”，双击“启动”，在属性对话框中单击“添加”按钮，并在“脚本名”一栏中填入“startbat”的绝对路径，单击“确定”按钮。同理设置好关机脚本。这样可以了，开关机做个实验，打开C:\aaatxt文件，是不是记录了你刚才的关机和开机时间呢？

---