当前位置： 首页 > news >正文

Linux/UNIX系统编程手册笔记：DAEMON、编写安全的特权程序、能力、登录记账

news 2025/9/6 9:43:59

守护进程（Daemon）：后台服务的构建与管理

守护进程（Daemon）是 Linux 系统中在后台持续运行的服务进程，通常用于提供系统级功能（如日志服务、网络监听 ）。其运行不受终端会话影响，具备独立的生命周期。以下深入解析守护进程的创建、管理与实践要点。

一、概述

（一）守护进程的特性

守护进程具备以下核心特性：

  • 后台运行：脱离终端控制，即使终端关闭也能持续执行。
  • 独立会话：通过 setsid 创建新会话，脱离原终端会话。
  • 资源清理：关闭不必要的文件描述符、重置工作目录，避免依赖终端环境。

典型守护进程：syslogd（日志服务 ）、sshd（SSH 服务 ）、httpd（Web 服务 ）。

二、创建一个 daemon

（一）守护进程的创建步骤

创建守护进程需执行以下关键步骤（“守护化”流程 ）：

  1. ** fork 子进程并退出父进程**：子进程成为孤儿进程，由 init 进程接管。
  2. 创建新会话：调用 setsid，子进程成为会话 leader，脱离原终端。
  3. 改变工作目录：通常切换到根目录（/ ），避免占用挂载点。
  4. 关闭文件描述符：关闭标准输入、输出、错误（STDIN_FILENO、STDOUT_FILENO、STDERR_FILENO ），避免资源泄漏。
  5. 重定向标准输出（可选 ）：将输出重定向到日志文件或 syslog，便于调试。

示例：基础守护进程创建

#include <unistd.h>
#include <sys/types.h>
#include <sys/stat.h>
#include <stdio.h>
#include <stdlib.h>void daemonize() {// 1. fork 子进程，退出父进程pid_t pid = fork();if (pid > 0) exit(0);if (pid < 0) { perror("fork"); exit(1); }// 2. 创建新会话setsid(); // 3. 改变工作目录到根chdir("/"); // 4. 关闭标准文件描述符close(STDIN_FILENO);close(STDOUT_FILENO);close(STDERR_FILENO);// 5. 重定向输出到 /dev/null（或日志文件）open("/dev/null", O_RDONLY);open("/dev/null", O_WRONLY);open("/dev/null", O_RDWR);
}int main() {daemonize();// 守护进程逻辑：持续运行while (1) {sleep(60); }return 0;
}

（二）守护化的细节优化

  • 文件掩码重置：调用 umask(0)，清除默认文件权限掩码，确保创建文件时权限正确。
  • 信号处理：忽略无关信号（如 SIGHUP 以外的终端信号 ），避免意外终止。

三、编写 daemon 指南

（一）守护进程的设计原则

  • 模块化：将初始化、运行、清理逻辑分离，便于维护。
  • 日志记录：通过 syslog 或文件记录运行状态，避免依赖终端输出。
  • 信号响应：处理 SIGHUP（重载配置 ）、SIGTERM（优雅退出 ）等信号。

（二）常见错误与避坑

  • 未正确脱离终端：需确保 setsid 调用成功，避免进程仍受终端影响。
  • 资源泄漏：未关闭不必要的文件描述符、未释放锁，可能导致系统资源耗尽。
  • 环境变量依赖：守护进程环境变量可能与终端不同，需显式设置必要变量（如 PATH ）。

四、使用 SIGHUP 重新初始化一个 daemon

（一）SIGHUP 信号的作用

SIGHUP 信号通常用于：

  • 通知守护进程重新加载配置（无需重启 ）。
  • 终端会话结束时通知进程（但守护进程已脱离终端，需自定义处理 ）。

示例：处理 SIGHUP 重载配置

#include <signal.h>
#include <stdio.h>
#include <unistd.h>void reload_config(int sig) {// 模拟重载配置文件printf("重新加载配置...\n"); 
}int main() {// 守护化（省略步骤，参考前文）daemonize(); // 注册 SIGHUP 处理函数signal(SIGHUP, reload_config); while (1) {sleep(10);}return 0;
}

发送 SIGHUP 信号：kill -SIGHUP <daemon_pid>，触发配置重载。

（二）优雅重启的实现

结合 SIGUSR1（或其他自定义信号 ），可实现守护进程的优雅重启：

  1. 启动新进程，完成初始化。
  2. 向旧进程发送 SIGTERM，等待其清理资源后退出。

五、使用 syslog 记录消息和错误

（一）概述

syslog 是 Linux 系统的日志守护进程（如 syslogd 或 rsyslogd ），用于集中管理进程日志。其优势：

  • 分级记录：支持不同日志级别（如 LOG_INFO、LOG_ERR ）。
  • 集中存储：日志可输出到文件、远程服务器，便于监控。

（二）syslog API

通过 syslog 系列函数记录日志：

#include <syslog.h>
#include <stdio.h>
#include <unistd.h>int main() {// 打开 syslog，设置标识为 "my_daemon"openlog("my_daemon", LOG_PID, LOG_DAEMON); // 记录不同级别的日志syslog(LOG_INFO, "守护进程启动");syslog(LOG_ERR, "发生错误：%s", "配置文件不存在");// 关闭 syslogcloselog(); return 0;
}

openlog 参数说明：

  • ident：日志前缀（通常为进程名 ）。
  • option：LOG_PID 表示包含进程 ID。
  • facility：日志分类（如 LOG_DAEMON 表示守护进程日志 ）。

（三）/etc/syslog.conf 文件

syslog.conf（或 rsyslog.conf ）配置日志的存储规则，示例：

# 将 daemon 类别的日志记录到 /var/log/daemon.log
daemon.*          /var/log/daemon.log

通过配置文件，可灵活控制不同程序、级别的日志输出位置。

六、总结

daemon 是一个长时间运行并且没有控制终端的进程（即它运行在后台）。daemon 执行特定的任务，如提供一个网络登录工具或服务 Web 页面。一个程序要成为 daemon 需要按序执行一组步骤，包括调用 fork()和 setsid()。

daemon 应该在合适的地方正确地处理 SIGTERM 和 SIGHUP 信号。SIGTERM 信号的处理方式应该是按序关闭这个 daemon，而 SIGHUP 信号则提供了一种机制让 daemon 通过读取器配置文件并重新打开所使用的所有日志文件来重新初始化自身。

syslog 工具为 daemon（以及其他应用程序）提供了一种便捷的方式来将错误和其他消息记录到一个中心位置。这些消息由 syslogd daemon 处理，syslogd 会根据 syslogd.conf 配置文件中的指令来重新分发消息。可以将消息重新分发到几个目标上，包括终端、磁盘文件、登录的用户以及通过 TCP/IP 网络分发到远程主机上的进程中（通常是其他 syslogd daemon）。

守护进程是 Linux 后台服务的基石，其创建与管理需关注：

  • 守护化流程：通过 fork、setsid 等操作，让进程脱离终端，独立运行。
  • 信号处理：利用 SIGHUP 实现配置重载，SIGTERM 实现优雅退出。
  • 日志管理：结合 syslog 集中记录日志，便于问题排查与监控。

掌握守护进程的开发要点，能构建稳定、可靠的后台服务，为系统提供持续支持。在实际开发中，需注重资源清理、信号响应和日志规范，确保守护进程高效、健壮地运行。

编写安全的特权程序：守护系统的最后一道防线

特权程序（如 Set-User-ID/Set-Group-ID 程序）因能突破普通权限限制，常成为攻击目标。编写安全的特权程序，需从权限最小化、输入校验、资源隔离等多维度设防。以下拆解关键安全准则，守护系统免受恶意利用。

一、是否需要一个 Set-User-ID 或 Set-Group-ID 程序？

（一）特权程序的风险与必要性

Set-User-ID（SUID）/Set-Group-ID（SGID）程序允许进程以文件所有者/组的权限运行（如 passwd 需 root 权限修改密码文件 ）。但特权提升也带来风险：

  • 若程序存在漏洞，攻击者可劫持特权执行恶意操作。
  • 需严格评估是否真的需要特权：普通权限能完成的功能，坚决避免 SUID/SGID。

示例：不必要的 SUID 风险

# 错误：普通脚本无需 SUID，却因配置错误获得 root 权限
sudo chmod u+s /usr/bin/my_script

攻击者可通过脚本漏洞执行 root 命令，危害系统。

（二）替代方案评估

优先采用最小特权原则，用以下方式替代 SUID/SGID：

  • 权限分离：将敏感操作拆分给普通程序，通过进程间通信（IPC ）调用特权服务（如 systemd 的 polkit ）。
  • Capability 机制：精细赋予进程特定权限（如 CAP_NET_BIND_SERVICE 允许绑定 80 端口 ），而非完整 root 权限。

二、以最小权限操作

（一）权限降级的实现

特权程序应在完成必要操作后，立即降级权限，避免权限滥用：

#include <unistd.h>
#include <sys/types.h>int main() {// 必要的特权操作（如修改系统文件）perform_privileged_task(); // 降级为普通用户（假设原有效 UID 为 root）setuid(getuid()); // 后续操作以普通权限执行perform_unprivileged_task(); return 0;
}

setuid(getuid()) 永久降为原始用户权限，防止后续代码误用特权。

（二）Capability 的精细控制

使用 capset/capget 管理 Linux Capability，仅保留必要权限：

# 赋予程序绑定低端口的能力，无需完整 root
setcap cap_net_bind_service=+ep /path/to/program

程序运行时仅拥有 CAP_NET_BIND_SERVICE，其他操作受普通权限限制。

三、小心执行程序

（一）控制 exec 系列函数的风险

特权程序调用 execve 等函数时，需严格控制执行路径与参数：

  • 绝对路径：避免依赖 PATH 环境变量，防止攻击者篡改路径执行恶意程序。
    // 安全：使用绝对路径
execl("/bin/ls", "ls", "-l", NULL); 
// 危险：依赖 PATH，可能执行恶意程序
execl("ls", "ls", "-l", NULL);
  • 参数校验：过滤参数中的特殊字符（如 ;、| ），防止命令注入。

四、避免暴露敏感信息

（一）敏感数据的保护

特权程序处理密码、密钥等数据时，需：

  • 内存清理：使用后立即覆盖内存，避免敏感数据残留（如 explicit_bzero ）。
  • 限制日志输出：禁止将密码等信息写入日志，避免泄漏。

示例：清理敏感内存

#include <strings.h>void handle_password(char *pass) {// 使用密码...explicit_bzero(pass, strlen(pass)); // 安全清理内存free(pass);
}

（二）环境变量的过滤

攻击者可通过 LD_PRELOAD 等环境变量注入恶意代码，特权程序需：

  • 清除危险环境变量：执行 exec 前重置 LD_PRELOAD、PATH 等。
    // 清除危险环境变量
unsetenv("LD_PRELOAD"); 
setenv("PATH", "/bin:/usr/bin", 1);

五、确定进程的边界

（一）文件描述符与资源隔离

特权程序需严格管理文件描述符：

  • 关闭不必要的描述符：防止继承的文件描述符泄漏特权（如打开的系统文件 ）。
    for (int i = 3; i < OPEN_MAX; i++) {close(i); // 关闭非标准描述符
}
  • chroot jail：将进程限制在特定目录，隔离系统资源（如 chroot 到 /var/empty ）。

六、小心信号和竞争条件

（一）信号处理的安全

特权程序需妥善处理信号（如 SIGINT、SIGTERM ）：

  • 原子操作保护：信号处理函数中避免复杂逻辑，防止与主程序竞争条件。
    sig_atomic_t shutdown_flag = 0;void handle_signal(int sig) {shutdown_flag = 1; // 原子操作，安全标记
}int main() {signal(SIGTERM, handle_signal);while (!shutdown_flag) {// 主逻辑...}// 清理资源return 0;
}

（二）竞争条件的防范

文件操作（如检查文件存在后打开 ）易受竞争条件攻击，需使用原子操作：

  • open + O_EXCL：创建文件时原子性检查，避免“检查-使用”窗口的攻击。
    // 原子创建文件，不存在则报错
int fd = open("/path/file", O_CREAT | O_EXCL, 0600); 
if (fd == -1 && errno == EEXIST) {// 处理文件已存在
}

七、执行文件操作和文件 I/O 的缺陷

（一）路径遍历与符号链接攻击

特权程序处理文件路径时，需解析符号链接并限制访问范围：

  • 解析真实路径：使用 realpath 获取文件绝对路径，检查是否在允许的目录内。
    char *real = realpath(user_path, NULL);
if (strstr(real, "/allowed/dir") != real) {// 路径非法，拒绝访问free(real);return -1;
}

（二）文件权限的正确设置

创建文件时需显式设置权限，避免默认权限过高：

// 创建文件，权限 0600（仅所有者可读写）
int fd = open("/path/file", O_CREAT, 0600);

八、不要完全相信输入和环境

（一）输入校验的严格性

对用户输入（命令行参数、网络数据 ）需进行：

  • 类型校验：确保输入符合预期格式（如数字、路径 ）。
  • 长度限制：防止缓冲区溢出（如 getline 替代 gets ）。

示例：校验数字输入

char *input = get_user_input();
if (strspn(input, "0123456789") != strlen(input)) {// 非法输入，拒绝处理free(input);return -1;
}

（二）环境变量的不信任

避免使用 getenv 获取关键配置，优先从可信路径（如配置文件 ）读取：

// 安全：从配置文件读取
FILE *f = fopen("/etc/myconfig", "r"); 
// 危险：依赖环境变量，可能被篡改
char *config = getenv("MY_CONFIG");

九、小心缓冲区溢出

（一）安全函数的使用

用安全函数替代危险函数：

  • strcpy → strncpy
  • sprintf → snprintf
  • gets → fgets

示例：安全拼接字符串

char buf[100];
// 限制复制长度，避免溢出
strncpy(buf, user_input, sizeof(buf)-1); 
buf[sizeof(buf)-1] = '\0'; // 确保终止符

（二）栈保护与编译选项

编译时启用栈保护：

# GCC 启用栈金丝雀、PIE 等保护
gcc -fstack-protector-strong -pie -fPIE -o program program.c

这些选项可检测缓冲区溢出并阻止恶意利用。

十、小心拒绝服务攻击

（一）资源限制的设置

通过 setrlimit 限制进程资源（如 CPU 时间、内存 ），防止被恶意输入耗尽：

struct rlimit rl;
rl.rlim_cur = 10; // 软限制 10 秒 CPU 时间
rl.rlim_max = 20; // 硬限制 20 秒
setrlimit(RLIMIT_CPU, &rl);

（二）输入速率控制

对网络或命令行输入，添加速率限制（如令牌桶算法 ），避免高频请求压垮程序。

十一、检查返回状态和安全地处理失败情况

（一）返回值的严格校验

对系统调用（如 open、malloc ）的返回值进行校验，避免忽略错误导致漏洞：

int fd = open("/path/file", O_RDONLY);
if (fd == -1) {// 记录错误并安全退出syslog(LOG_ERR, "打开文件失败：%m"); exit(EXIT_FAILURE);
}

（二）失败时的资源清理

程序异常退出前，需释放资源（如关闭文件、解锁互斥量 ），避免资源泄漏影响系统。

十二、总结

特权程序能够访问普通进程无法访问的系统资源。如果这种程序被破坏了，那么系统的安全性就会受到影响。本章给出了编写特权程序的一组指南，这些指南的目标包括两个方面：将特权程序被破坏的可能性降到最低和当特权程序被破坏时所造成的损失降到最小。

编写安全的特权程序，需构建多层防御体系：

  • 权限最小化：仅在必要时提升权限，完成操作后立即降级。
  • 输入校验：对用户输入、环境变量进行严格过滤，防止注入与溢出。
  • 资源隔离：通过 chroot、文件描述符清理，限制程序影响范围。
  • 防御增强：利用 Capability、栈保护、速率限制等机制，加固程序防线。

特权程序的安全是系统稳定的基石，每一个细节的疏忽都可能成为攻击入口。开发者需以“不信任任何输入，最小化权限使用”为原则，结合代码审计与防御工具，打造真正安全的特权程序。

Linux 能力（Capabilities）：精细化权限管理实践

在 Linux 系统中，传统的 root 权限过于宽泛，易导致权限滥用。能力（Capabilities） 机制将 root 权限拆解为细粒度的单元，允许进程仅获取必要权限，显著提升系统安全性。以下深入解析能力的核心原理与实践应用。

一、能力基本原理

（一）能力的设计目标

能力机制旨在替代 root 权限的“全或无”模式，将超级用户权限拆分为 30+ 个独立能力（如 CAP_NET_BIND_SERVICE 允许绑定低端口 ）。每个能力对应特定系统操作，进程仅需获取必要能力即可完成任务，降低权限滥用风险。

（二）能力的分类与存储

能力分为有效集（Effective）、允许集（Permitted）、继承集（Inheritable）：

  • 有效集：进程当前活跃的能力，决定是否允许执行特权操作。
  • 允许集：进程可激活的能力集合（有效集是允许集的子集 ）。
  • 继承集：execve 调用新程序时，允许传递的能力集合。

通过 /proc/<pid>/status 可查看进程能力：

# 查看进程 1234 的能力
cat /proc/1234/status | grep Cap

二、Linux 能力概览

（一）常见能力解析

  • CAP_NET_BIND_SERVICE：允许绑定到 0~1023 的端口（如 Web 服务器绑定 80 端口 ）。
  • CAP_CHOWN：允许修改文件所有者（chown 操作 ）。
  • CAP_SYS_ADMIN：涵盖大量系统管理操作（需谨慎赋予，接近 root 权限 ）。

完整能力列表可通过 capabilities(7) 手册查询。

（二）能力与权限的映射

能力机制让普通用户进程也能执行特权操作，无需完整 root 权限。例如，绑定低端口的传统实现需 root，但赋予 CAP_NET_BIND_SERVICE 后，普通用户进程即可完成：

# 赋予程序绑定低端口的能力
sudo setcap cap_net_bind_service=+ep /path/to/program

三、进程和文件能力

（一）进程能力管理

进程能力可通过 capset/capget 系统调用动态调整：

#include <sys/capability.h>int main() {cap_t caps = cap_get_proc(); // 获取当前进程能力// 添加 CAP_NET_BIND_SERVICE 到允许集和有效集cap_set_flag(caps, CAP_PERMITTED, CAP_NET_BIND_SERVICE, 1, CAP_SET); cap_set_flag(caps, CAP_EFFECTIVE, CAP_NET_BIND_SERVICE, 1, CAP_SET); cap_set_proc(caps); // 应用能力变更cap_free(caps);return 0;
}

（二）文件能力的设置

文件能力存储在可执行文件的扩展属性中，通过 setcap 设置：

# 允许程序继承 CAP_NET_BIND_SERVICE 能力
sudo setcap cap_net_bind_service=+ei /path/to/program
  • +e：有效集包含该能力。
  • +i：继承集包含该能力（execve 时传递 ）。

（三）能力集的继承规则

execve 调用新程序时，能力继承遵循：

  1. 若新程序的文件有效用户 ID（fsuid ）为 0（root ），则继承父进程的允许集和有效集。
  2. 否则，仅继承父进程继承集与新程序文件允许集的交集。

合理配置继承集，可限制特权程序的能力传递。

四、现代能力实现细节

（一）能力边界集（Bounding Set）

边界集是系统全局的能力掩码，限制进程可获取的能力上限。即使进程请求边界集外的能力，也无法获得。通过 sysctl 可调整边界集：

# 查看当前边界集
cat /proc/sys/kernel/cap_boundary_set

（二）保持 root 语义的兼容

为兼容旧系统，Linux 提供 CAP_SETUID+CAP_SETGID 组合，允许进程切换用户 ID（模拟 root 的 setuid 行为 ）。但需注意，此类能力仍需谨慎赋予。

五、exec() 中能力的传递规则

（一）能力传递的条件

execve 调用时，子进程能力由以下因素决定：

  • 父进程的继承集（CAP_INHERITABLE ）。
  • 新程序的文件允许集（CAP_PERMITTED ）。
  • 新程序的文件有效用户 ID（fsuid ）。

若新程序 fsuid 为 0，子进程继承父进程的允许集和有效集；否则，仅继承交集。

（二）实战：控制能力继承

通过 prctl(PR_SET_KEEPCAPS, 1) 可让进程 setuid 后保留能力：

#include <sys/prctl.h>int main() {prctl(PR_SET_KEEPCAPS, 1); // setuid 后保留能力setuid(1000); // 切换到普通用户// 仍可使用已保留的能力（如 CAP_NET_BIND_SERVICE ）bind_low_port(); return 0;
}

六、用户 ID 变更对能力的影响

（一）setuid/setgid 的能力行为

当进程通过 setuid(0) 提升为 root 时，默认会获得完整能力集（若未限制 ）。为限制权限，需配合能力机制：

// 提升为 root，但仅保留 CAP_NET_BIND_SERVICE 能力
cap_set_proc(restricted_caps); 
setuid(0);

（二）能力保留与清理

setuid 非 root 用户时，进程有效集和允许集会被清理，仅保留继承集中的能力。通过 prctl(PR_SET_KEEPCAPS) 可保留允许集，实现精细权限控制。

七、编程方式调整进程能力

（一）capsh 工具的使用

capsh 是调试能力的实用工具，可模拟不同能力环境：

# 以仅 CAP_NET_BIND_SERVICE 能力运行程序
capsh --caps="cap_net_bind_service=eip" -- /path/to/program

（二）libcap 库的应用

libcap 提供高级 API 简化能力操作，示例：

#include <libcap.h>int main() {cap_t caps = cap_init();cap_set_flag(caps, CAP_PERMITTED, CAP_NET_BIND_SERVICE, 1, CAP_SET);cap_set_proc(caps);cap_free(caps);return 0;
}

八、构建仅含能力的环境

（一）容器化场景的应用

在容器（如 Docker ）中，能力机制可替代 --privileged 模式，仅赋予必要能力：

# Dockerfile 示例：赋予绑定低端口能力
FROM alpine
RUN apk update && apk add nginx
# 赋予 nginx 绑定低端口的能力
RUN setcap cap_net_bind_service=+ep /usr/sbin/nginx 
CMD ["nginx", "-g", "daemon off;"]

（二）最小化能力集的实践

通过 ambient 能力（Linux 4.3+ ）可更灵活地传递能力，进一步缩小权限范围：

# 允许程序继承 ambient 能力
sudo setcap cap_net_bind_service=+eip /path/to/program

九、发现程序所需能力

（一）能力审计工具

  • capsh --print：查看当前环境能力。
  • strace：跟踪系统调用，识别需要的能力（如 bind 低端口需 CAP_NET_BIND_SERVICE ）。

（二）动态调试与验证

通过逐步移除能力并测试程序功能，可确定最小必要能力集，例如：

# 测试程序是否可在无 CAP_SYS_ADMIN 时运行
sudo setcap cap_sys_admin=-ep /path/to/program 
./program # 观察是否报错

十、老式内核的能力兼容

（一）无文件能力的内核

旧版内核（< 2.6.24 ）不支持文件能力，需通过 prctl 或 setuid 模拟能力管理，或升级内核以获得完整能力支持。

（二）过渡方案与限制

对于无法升级内核的环境，可通过 sudo 受限权限或 SELinux 补充能力管理，但建议优先升级内核以利用现代能力机制。

十一、总结

Linux 能力模型将特权操作划分成不同的种类并允许一个进程在被授予一些能力的同时被禁止使用其他能力。这个模型对传统的一个进程要么拥有权限执行所有的操作（用户 ID 为 0）或没有权限（用户 ID 非 0）执行操作的 all-or-nothing 权限机制进行了优化。自 2.6.24 内核起，Linux 支持将能力附加到文件上，这样进程可以通过执行程序来获取所选中的能力。

Linux 能力机制是权限精细化管理的核心工具，通过拆解 root 权限、限制能力传递，显著提升系统安全性：

  • 权限最小化：仅赋予进程必要能力，降低攻击面。
  • 动态调整：运行时灵活管理能力，适配复杂场景。
  • 兼容与演进：支持旧系统过渡，持续扩展能力细粒度。

在容器化、特权程序开发中，能力机制已成为必备实践。开发者需深入理解能力的继承、传递规则，结合 setcap、libcap 等工具，构建安全、高效的权限模型，让系统权限管理从“粗放”走向“精准”。

登录记账：Linux 系统的登录轨迹追踪

在 Linux 系统中，登录记账机制通过 utmp、wtmp、lastlog 等文件，记录用户的登录、注销轨迹，是系统审计、行为分析的核心依据。以下深入解析这些文件的结构、API 及实践应用。

一、utmp 和 wtmp 文件概述

（一）文件作用与存储位置

  • utmp：记录当前登录的用户信息（如终端、登录时间 ），通常位于 /var/run/utmp，系统重启后重置。
  • wtmp：记录所有登录、注销历史，是 utmp 的持久化版本，位于 /var/log/wtmp，可通过 last 命令查询。

示例：查看登录历史

# 查看 wtmp 记录的登录事件
last

（二）文件格式与版本差异

传统 utmp/wtmp 使用二进制格式，不同系统（如 Linux、BSD ）结构略有差异。现代系统中，utmpx API 提供统一接口，兼容旧版文件格式。

二、utmpx API 解析

（一）核心函数说明

utmpx 系列函数用于读写 utmp/wtmp 文件：

  • setutxent()：打开并重置文件指针，准备读取。
  • getutxent()：逐条目读取 utmp 记录。
  • pututxent()：写入记录到 utmp。

示例：读取当前登录用户

#include <utmpx.h>
#include <stdio.h>int main() {setutxent(); // 打开 utmpstruct utmpx *entry;while ((entry = getutxent()) != NULL) {if (entry->ut_type == USER_PROCESS) {printf("用户 %s 在终端 %s 登录\n", entry->ut_user, entry->ut_line);}}endutxent(); // 关闭文件return 0;
}

（二）线程安全与注意事项

utmpx API 并非线程安全，多线程环境需加锁保护。此外，直接操作 utmp/wtmp 需注意文件权限（通常需 root 或 utmp 组权限 ）。

三、utmpx 结构详解

（一）关键字段解析

struct utmpx 包含以下核心字段：

  • ut_type：记录类型（如 USER_PROCESS 表示用户登录 ）。
  • ut_user：用户名。
  • ut_line：终端设备名（如 tty1、pts/0 ）。
  • ut_tv：登录时间（struct timeval 类型 ）。

示例：构造登录记录

struct utmpx entry = {0};
entry.ut_type = USER_PROCESS;
strcpy(entry.ut_user, "testuser");
strcpy(entry.ut_line, "pts/1");
gettimeofday(&entry.ut_tv, NULL);
pututxent(&entry); // 写入 utmp

（二）扩展字段与兼容性

部分系统扩展了 utmpx 结构（如 ut_host 记录远程登录主机 ），需注意跨平台兼容性。

四、从 utmp 和 wtmp 文件中检索信息

（一）按条件过滤记录

通过 getutxline() 可按终端名检索记录：

struct utmpx *entry = getutxline(&utmpx_template);

结合 ut_type 过滤（如 DEAD_PROCESS 表示注销 ），可统计登录时长、异常注销等事件。

（二）解析 wtmp 历史记录

wtmp 文件格式与 utmp 兼容，可通过 utmpx API 读取：

// 打开 wtmp
setutxent(); 
// 读取 wtmp（需替换文件路径，或通过环境变量指定）
utmpname("/var/log/wtmp"); 
struct utmpx *entry;
while ((entry = getutxent()) != NULL) {// 处理历史记录
}

五、获取登录名称：getlogin()

（一）函数作用与实现

getlogin() 返回当前用户的登录名，通过终端设备（utmp 记录 ）关联。示例：

#include <unistd.h>
#include <stdio.h>int main() {char *login = getlogin();printf("当前登录用户：%s\n", login ? login : "未知");return 0;
}

（二）故障排查与替代方案

若 getlogin() 失败（如终端未记录 ），可通过 getpwuid(getuid()) 获取用户名，或直接解析 utmp。

六、为登录会话更新 utmp 和 wtmp 文件

（一）登录时的记录写入

登录程序（如 login、sshd ）需调用 pututxent() 写入 USER_PROCESS 记录到 utmp，并同步到 wtmp。示例：

// 模拟登录：写入 utmp
struct utmpx entry = {0};
entry.ut_type = USER_PROCESS;
strcpy(entry.ut_user, "admin");
strcpy(entry.ut_line, "ttyS0");
gettimeofday(&entry.ut_tv, NULL);
pututxent(&entry);

（二）注销时的记录更新

注销时需写入 DEAD_PROCESS 记录，标记会话结束：

entry.ut_type = DEAD_PROCESS;
pututxent(&entry); // 更新 utmp 和 wtmp

七、lastlog 文件解析

（一）文件作用与结构

lastlog 记录用户最后一次登录信息（时间、终端、远程主机 ），位于 /var/log/lastlog，通过 lastlog 命令查询：

# 查看所有用户最后登录
lastlog

（二）编程访问 lastlog

通过 getlastlogx() 系列函数（或直接读取二进制文件 ）可访问 lastlog，需注意文件权限（通常仅 root 可读写 ）。示例：

#include <lastlog.h>
#include <stdio.h>int main() {struct lastlog ll;// 读取用户 UID 1000 的最后登录记录getlastlog(1000, &ll); printf("最后登录时间：%ld\n", (long)ll.ll_time);return 0;
}

八、总结

登录记账记录着当前登录的用户以及过去登录过系统的用户。这类信息维护在三个文件中：utmp文件维护了所有当前登录进系统的用户记录；wtmp文件维护了所有登录和登出行为的审计信息；lastlog文件记录着每个用户最近一次登录系统的时间。很多命令，如who和last，都使用了这些文件中的信息。

C库提供了读取和更新登录记账文件中的信息的函数。提供登录服务的应用程序应该使用这些函数来更新登录记账文件，这样依赖于这些信息的命令才能够表现出正确的行为。

登录记账机制通过 utmp、wtmp、lastlog 构建了系统的“登录轨迹链”：

  • 实时监控：utmp 反映当前登录状态，用于 who、w 等命令。
  • 历史审计：wtmp 记录完整会话历史，支持追溯安全事件。
  • 用户画像：lastlog 存储最后登录信息，辅助身份验证与行为分析。

在系统运维中，这些文件是排查登录异常、审计操作行为的关键依据。开发者需熟悉 utmpx API 的使用，结合权限管理（如 root 或 utmp 组权限 ），实现自定义登录监控、审计工具，为系统安全加固提供数据支撑。


文章转载自：

http://4eZIP7a0.wsLpk.cn
http://Vuu4aXFi.wsLpk.cn
http://7DVozr24.wsLpk.cn
http://Ftx3imYg.wsLpk.cn
http://eBh0KLno.wsLpk.cn
http://dEf0AcZV.wsLpk.cn
http://5RBuoty4.wsLpk.cn
http://F0ryUZpC.wsLpk.cn
http://zHTJiB3t.wsLpk.cn
http://sb3c9LJf.wsLpk.cn
http://y023z6PD.wsLpk.cn
http://2qnev2Ko.wsLpk.cn
http://lTCjzapv.wsLpk.cn
http://XNj1yeo5.wsLpk.cn
http://xvHVwBFb.wsLpk.cn
http://8uLq1T9H.wsLpk.cn
http://q9N1SeAW.wsLpk.cn
http://LXCnedoe.wsLpk.cn
http://fwPY6KOe.wsLpk.cn
http://jYaHlsBN.wsLpk.cn
http://LebZdJjB.wsLpk.cn
http://FtEtDzuw.wsLpk.cn
http://j4h7lfca.wsLpk.cn
http://qWNDRfjW.wsLpk.cn
http://2fF9YFHj.wsLpk.cn
http://tphssmGE.wsLpk.cn
http://bwKTQSAl.wsLpk.cn
http://rNtZxOdQ.wsLpk.cn
http://TaNDioKa.wsLpk.cn
http://pLPpR5rN.wsLpk.cn
http://www.dtcms.com/a/369002.html

相关文章：

  • Docker部署PanSou 一款开源网盘搜索项目，集成前后端，一键部署
  • 【服务器】英伟达M40显卡风冷方案心得
  • Process Explorer 学习笔记（第三章3.3.1）：DLL和句柄
  • 解锁无限创意：Tldraw+cpolar如何通过内网穿透技术打破空间限制
  • 安全沙箱配置针对海外vps容器隔离的验证方法
  • SQL-DML
  • 数据库原理及应用_数据库基础_第4章关系模型的基本理论_触发器
  • RWA点亮新能源的数字未来
  • css margin外边距重叠/塌陷问题
  • 【Python - 基础 - 规范】（01）Python命名规范...
  • 高级RAG策略学习（四）——上下文窗口增强检索RAG
  • 如何通过AI进行数据资产梳理
  • 跨平台超低延迟RTSP播放器技术设计探究
  • 一文了解大模型推理优化
  • 嵌入式单片机---串口通信及相关通信技术
  • k8s基础练习环境搭建
  • AiPPT生成的PPT内容质量怎么样？会不会出现逻辑混乱或数据错误？
  • 系统架构思考20241204
  • GPU版Pytorch的安装
  • 飞算JavaAI炫技赛：在线图书借阅平台的设计与实现
  • Bing 搜索引擎检索语法
  • 14 C++ STL 容器实战：stack/list 模拟实现指南 + priority_queue 用法及避坑技巧
  • ElasticSearch新角色的创建及新用户的创建
  • 【运维】Linux inotify watches 限制问题解决方案
  • ES模块（ESM）、CommonJS（CJS）和UMD三种格式
  • centos下gdb调试python的core文件
  • 计算机网络2 第二章 物理层——用什么方式传输邮件
  • 使用深度Q网络（DQN）算法实现游戏AI
  • 深度学习优化框架（DeepSpeed）
  • Java 8 终于要被淘汰了！带你速通 Java 8~24 新特性 | 又能跟面试官吹牛皮了