wtmp日志介绍
之前遇到一个AIX服务器登录不上，但是能ping通的事情。一开始我怀疑是sshd服务坏掉了，但是使用telnet也无法登录。好在这台机器所在的机房就在我隔壁，于是外接显示器，直接上机操作。好在直接通过物理介质还是能登录得上去的。
上去一看，好家伙，直接提示根目录磁盘不足了。于是就查跟目录下都有哪些东西占用了比较大的空间。
不看不知道，一看吓一跳，根目录下一共3.2G， /var/log下一个wtmp文件就占了2.8G。
那么这个wtmp是啥？能不能删除呢？查了一下资料，才知道这个wtmp是系统记录登录信息的一个日志文件。
不过这个日志文件并不是文本格式，并不能直接查看，而是二进制格式，需要借助一些其他手段。
既然只是记录登录信息的日志，那删了也无妨，于是问题解决。
过了一段时间，另外一台HPUX机器也出现了同样的问题，也是wtmp文件把磁盘占满导致无法远程连接。于是我痛定思痛，决心好好研究一下这个wtmp日志。
刚动这个念头，契机就来了。
正好有一个客户希望可以采集这种二进制的wtmp文件。于是就趁此机会好好研究了一把这个日志。
在/var/log目录下，记录登录信息的日志一共有几类：
/var/log/utmp当前正在登录的用户，相当于who命令的输出/var/log/btmp记录登录失败的信息，可以使用lastb命令查看/var/log/wtmp记录当前正在登录和历史登录系统的用户信息，可以使用last命令查看
使用last命令读取
我们先使用last命令看看读出来的wtmp是什么样的内容：
从上图可知，last命令读出的wtmp文件，其内容主要是：
第一列： 用户名
第二列：终端位置
第三列：登录IP或者内核
第四列：开始时间
第五列：结束时间
第六列：持续时间
因此，我们需要有一个程序，能将wtmp日志解析成上述的格式，才是最终的目标。
使用Go语言读取
auditbeat是elastic开源的一款go语言编写的采集器。其中就有涉及到采集wtmp文件的相关实现。
它首先定义了一个utmp的结构体：
type utmpC struct { Type UtType // Alignment _ [2]byte Pid int32 Device [UT_LINESIZE]byte Terminal [4]byte Username [UT_NAMESIZE]byte Hostname [UT_HOSTSIZE]byte ExitStatusTermination int16 ExitStatusExit int16 SessionID int32 TimeSeconds int32 TimeMicroseconds int32 IP [4]int32 Unused [20]byte } type Utmp struct { UtType UtType UtPid int UtLine string UtUser string UtHost string UtTv time.Time UtAddrV6 [4]uint32 }
然后使用ReadNextUtmp函数来遍历wtmp文件：
func ReadNextUtmp(r io.Reader) (*Utmp, error) { utmpC := new(utmpC) err := binary.Read(r, byteOrder, utmpC) if err != nil { return nil, err } return newUtmp(utmpC), nil }
newUtmp就是将utmpC转换为utmp格式的一个转换函数。utmpC是wtmp存储登录信息的内部二进制格式。
调用逻辑如下：
func readNewInFile(utmpPath string) error{ f, err := os.Open(utmpPath) if err != nil { return fmt.Errorf("error opening file %v: %w", utmpFile.Path, err) } for { utmp, err := ReadNextUtmp(f) if err != nil && err != io.EOF { return fmt.Errorf("error reading entry in UTMP file %v: %w", utmpFile.Path, err) } if utmp != nil { r.log.Debugf("utmp: (ut_type=%d, ut_pid=%d, ut_line=%v, ut_user=%v, ut_host=%v, ut_tv.tv_sec=%v, ut_addr_v6=%v)", utmp.UtType, utmp.UtPid, utmp.UtLine, utmp.UtUser, utmp.UtHost, utmp.UtTv, utmp.UtAddrV6) } else { // Eventually, we have read all UTMP records in the file. break } } } return nil }
当然原始代码比这个复杂，我在这里做了一些精简，原始代码里还有一些判断文件滚动的逻辑。具体代码在utmp_c.go和utmp.go，感兴趣的可以参考。
使用C语言实现
C语言是提供了utmp相关的系统实现的，这些接口在utmp.h中，主要的接口包含以下这些：
//这个函数相当于上面的ReadNextUtmp，每次获取一条登录信息，如果读到了文件末尾，则返回NULL //第一次使用该函数会打开文件，文件读完之后可以使用endutent()来关闭文件 struct utmp *getutent(void); //从 utmp 文件中的读写位置逐一往后搜索参数 ut 指定的记录 // 如果ut->ut_type 为RUN_LVL, BOOT_TIME, NEW_TIME, OLD_TIME 其中之一则查找与ut->ut_type 相符的记录 // 若ut->ut_type为INIT_PROCESS, LOGIN_PROCESS, USER_PROCESS 或DEAD_PROCESS 其中之一, 则查找与ut->ut_id相符的记录 struct utmp *getutid(struct utmp *ut); //从utmp 文件的读写位置逐一往后搜索ut_type 为USER_PROCESS 或LOGIN_PROCESS 的记录, 而且ut_line 和ut->ut_line 相符 struct utmp *getutline(struct utmp *ut); //将一个struct utmp结构体写进文件utmp中， 也就是手动写入登录信息 struct utmp *pututline(struct utmp *ut); //打开文件utmp，并且将文件指针指向文件的最开始,相当于fseek到文件开始位置 void setutent(void); //关闭文件utmp void endutent(void); //设定utmp文件所在的路径，默认的路径为宏 _PATH_UTMP，利用该函数，可以控制读哪个文件 int utmpname(const char *file);
上面这些接口中反复出现的结构体struct utmp，其实和上文中go语言实现里的utmpC是一个东西，只不过这里是C语言的定义方式，其结构体如下：
/* The structure describing an entry in the user accounting database. */ struct utmp { short int ut_type; /* Type of login. */ pid_t ut_pid; /* Process ID of login process. */ char ut_line[UT_LINESIZE]; /* Devicename. */ char ut_id[4]; /* Inittab ID. */ char ut_user[UT_NAMESIZE]; /* Username. */ char ut_host[UT_HOSTSIZE]; /* Hostname for remote login. */ struct exit_status ut_exit; /* Exit status of a process marked as DEAD_PROCESS. */ /* The ut_session and ut_tv fields must be the same size when compiled 32- and 64-bit. This allows data files and shared memory to be shared between 32- and 64-bit applications. */ #ifdef __WORDSIZE_TIME64_COMPAT32 int32_t ut_session; /* Session ID, used for windowing. */ struct { int32_t tv_sec; /* Seconds. */ int32_t tv_usec; /* Microseconds. */ } ut_tv; /* Time entry was made. */ #else long int ut_session; /* Session ID, used for windowing. */ struct timeval ut_tv; /* Time entry was made. */ #endif int32_t ut_addr_v6[4]; /* Internet address of remote host. */ char __unused[20]; /* Reserved for future use. */ };
这里需要说明的是，ut_type解析出来是数字，它其实是一个enum，对应关系如下：
#define EMPTY 0 /* No valid user accounting information. */ #define RUN_LVL 1 /* The system's runlevel. */ #define BOOT_TIME 2 /* Time of system boot. */ #define NEW_TIME 3 /* Time after system clock changed. */ #define OLD_TIME 4 /* Time when system clock changed. */ #define INIT_PROCESS 5 /* Process spawned by the init process. */ #define LOGIN_PROCESS 6 /* Session leader of a logged in user. */ #define USER_PROCESS 7 /* Normal process. */ #define DEAD_PROCESS 8 /* Terminated process. */ #define ACCOUNTING 9 /* Old Linux name for the EMPTY type. */ #define UT_UNKNOWN EMPTY
有了以上知识储备，就可以使用C语言获取wtmp文件内容了：
#include <utmp.h> #include <stdio.h> #include <stdlib.h> #include <string.h> #include <time.h> char *ntop(int32_t ip_addr) { int addr_1 = ip_addr % 256; ip_addr = ip_addr / 256; int addr_2 = ip_addr % 256; ip_addr = ip_addr / 256; int addr_3 = ip_addr % 256; ip_addr = ip_addr / 256; int addr_4 = ip_addr % 256; char ip[16] = {0}; sprintf(ip, "%d.%d.%d.%d", addr_1, addr_2, addr_3, addr_4); return ip; } int main(){ utmpname("/var/log/wtmp"); setutent(); while(1){ struct utmp *ut = getutent(); if (ut == NULL){ break; } printf("{\"ut_type\":%d, \"ut_pid\":%d, \"ut_line\":\"%s\", \"ut_id\": \"%s\", \"ut_user\": \"%s\", \"ut_host\":\"%s\",\"ut_exit\":{\"e_termination\":%d, \"e_exit\":%d},\"ut_tv\":%d, \"ut_session\":%d, \"ut_addr6\":\"%s\"}\n", ut->ut_type, ut->ut_pid, ut->ut_line, ut->ut_id, ut->ut_user, ut->ut_host, ut->ut_exit.e_termination, ut->ut_exit.e_exit, ut->ut_tv.tv_sec + ut->ut_tv.tv_usec / 1000,ut->ut_session, ntop(ut->ut_addr_v6[0])); } endutent(); return 0; }
以上程序运行结果如下所示：
[root@ck94 wtmp]# ./a.out {"ut_type":7, "ut_pid":41857, "ut_line":"pts/84", "ut_id": "s/84root", "ut_user": "root", "ut_host":"10.2.1.24","ut_exit":{"e_termination":0, "e_exit":0},"ut_tv":1678526541, "ut_session":0, "ut_addr6":"10.2.1.24"} {"ut_type":7, "ut_pid":49088, "ut_line":"pts/100", "ut_id": "/100root", "ut_user": "root", "ut_host":"10.2.1.24","ut_exit":{"e_termination":0, "e_exit":0},"ut_tv":1678526356, "ut_session":0, "ut_addr6":"10.2.1.24"} {"ut_type":7, "ut_pid":41020, "ut_line":"pts/101", "ut_id": "/101root", "ut_user": "root", "ut_host":"ck08","ut_exit":{"e_termination":0, "e_exit":0},"ut_tv":1678526996, "ut_session":0, "ut_addr6":"192.168.110.8"} {"ut_type":8, "ut_pid":41018, "ut_line":"pts/101", "ut_id": "", "ut_user": "", "ut_host":"","ut_exit":{"e_termination":0, "e_exit":0},"ut_tv":1678527030, "ut_session":0, "ut_addr6":"0.0.0.0"} {"ut_type":7, "ut_pid":41068, "ut_line":"pts/101", "ut_id": "/101root", "ut_user": "root", "ut_host":"ck08","ut_exit":{"e_termination":0, "e_exit":0},"ut_tv":1678527173, "ut_session":0, "ut_addr6":"192.168.110.8"} {"ut_type":8, "ut_pid":41062, "ut_line":"pts/101", "ut_id": "", "ut_user": "", "ut_host":"","ut_exit":{"e_termination":0, "e_exit":0},"ut_tv":1678527208, "ut_session":0, "ut_addr6":"0.0.0.0"} ...
以上使用系统函数获取，看似方便，实则有一个不好的地方，那就是采集wtmp的程序肯定是要长期运行采集的，可是万一采集程序因为某种原因停止了运行，当下次重新启动时，如何断点续采，而不是从头开始？
最好的方式还是采取auditbeat中一样的视线方式，直接从文件读取，并记录下读到的offset，当下次读取时，直接fseek到offset的位置，于是代码如下：
#include <utmp.h> #include <stdio.h> #include <stdlib.h> #include <string.h> #include <time.h> char *ntop(int32_t ip_addr) { int addr_1 = ip_addr % 256; ip_addr = ip_addr / 256; int addr_2 = ip_addr % 256; ip_addr = ip_addr / 256; int addr_3 = ip_addr % 256; ip_addr = ip_addr / 256; int addr_4 = ip_addr % 256; char ip[16] = {0}; sprintf(ip, "%d.%d.%d.%d", addr_1, addr_2, addr_3, addr_4); return ip; } int main(){ FILE *fp = fopen("/var/log/wtmp", "rb"); int chunk_size = sizeof(struct utmp); void *chunk = calloc(1, chunk_size); while(1){ int rbytes = fread(chunk, chunk_size, 1, fp); if (rbytes == 0){ break; } struct utmp *ut = NULL; ut = (struct utmp*)chunk; printf("{\"ut_type\":%d, \"ut_pid\":%d, \"ut_line\":\"%s\", \"ut_id\": \"%s\", \"ut_user\": \"%s\", \"ut_host\":\"%s\",\"ut_exit\":{\"e_termination\":%d, \"e_exit\":%d},\"ut_tv\":%d, \"ut_session\":%d, \"ut_addr6\":\"%s\"}\n", ut->ut_type, ut->ut_pid, ut->ut_line, ut->ut_id, ut->ut_user, ut->ut_host, ut->ut_exit.e_termination, ut->ut_exit.e_exit, ut->ut_tv.tv_sec + ut->ut_tv.tv_usec / 1000,ut->ut_session, ntop(ut->ut_addr_v6[0])); } free(chunk); return 0; }
以上代码可以得到同样的运行结果，这里就不演示了。
推荐一个零声学院免费教程，个人觉得老师讲得不错，分享给大家：[Linux，Nginx，ZeroMQ，MySQL，Redis，
fastdfs，MongoDB，ZK，流媒体，CDN，P2P，K8S，Docker，
TCP/IP，协程，DPDK等技术内容，点击立即学习: C/C++Linux服务器开发/高级架构师
