一、WHO命令基础解析

在Linux系统管理领域，用户登录审计是安全运维的核心环节。WHO命令作为系统内置的基础工具，通过解析系统日志文件，为管理员提供实时用户登录状态的全景视图。该命令通过读取/var/run/utmp二进制文件，提取USER_PROCESS类型（值为7）的进程记录，最终呈现当前活跃用户的关键信息。

1.1 核心功能架构

WHO命令构建在三层次数据模型之上：

用户标识层：包含登录名、终端设备（tty）、远程主机地址
时间维度层：记录精确到秒的登录时间戳及会话时长
系统状态层：显示运行级别、系统启动时间等环境参数

典型输出示例：

username  tty1         2023-10-25 09:30 (:0)
root      pts/0        2023-10-25 10:15 (192.168.1.100)

1.2 日志文件体系

系统维护三类关键日志文件：

utmp：实时会话记录（二进制格式）
wtmp：历史登录档案（支持时间序列分析）
btmp：失败登录尝试记录（安全审计重要依据）

管理员可通过-u参数指定自定义日志路径，实现跨周期数据追溯。例如：

who -u /var/log/wtmp > historical_logins.txt

二、高级参数应用指南

WHO命令提供丰富的参数组合，满足多样化审计需求。以下为关键参数的技术解析：

2.1 扩展信息显示

-a参数：激活完整信息模式，输出包含：
- 用户状态标识（+/-/.）
- 终端可写状态（通过-T参数控制）
- 进程ID与退出状态码
-H参数：添加CSV格式标题行，便于脚本自动化处理

2.2 时间维度分析

-b参数：提取系统启动时间戳，结合uptime命令可计算系统可用率
-d参数：显示进程终止状态，辅助诊断异常退出场景
-s参数：仅输出登录名、终端和登录时间三要素，适合轻量级监控

2.3 用户统计功能

-q参数：生成用户数统计报表，包含：
```
#users=2
username1 username2
```
结合wc -l命令可实现自动化阈值告警

三、底层实现机制剖析

WHO命令的技术实现涉及三个核心层面：

3.1 系统调用链

open()：以只读模式打开日志文件
lseek()：定位到文件特定偏移量
read()：按struct utmp大小读取记录
close()：释放文件描述符

3.2 数据结构解析

utmp结构体包含关键字段：

struct utmp {
    short ut_type;      // 记录类型（7=USER_PROCESS）
    pid_t ut_pid;       // 进程ID
    char ut_line[32];   // 终端设备名
    char ut_host[256];  // 远程主机地址
    struct timeval ut_tv; // 时间戳
};

3.3 时间处理模块

通过localtime()函数将UTC时间戳转换为可读格式：

time_t rawtime = utmp_record.ut_tv.tv_sec;
struct tm *timeinfo = localtime(&rawtime);
char buffer[80];
strftime(buffer, sizeof(buffer), "%Y-%m-%d %H:%M", timeinfo);

四、典型应用场景实践

4.1 安全审计场景

# 检测异常登录时段
who -q | awk '{print $2}' | xargs -I {} date -d "{}" +%H | \
sort | uniq -c | awk '$1>3 {print "Warning: High login frequency at "$2":00"}'

4.2 资源监控场景

# 统计终端占用情况
who | awk '{print $2}' | sort | uniq -c | \
while read count term; do 
    echo "Terminal $term has $count sessions"
done

4.3 自动化运维集成

结合日志服务实现持续监控：

import subprocess
def get_active_users():
    result = subprocess.run(['who'], stdout=subprocess.PIPE)
    return [line.split()[0] for line in result.stdout.decode().split('\n') if line]
# 集成到监控告警系统
if len(get_active_users()) > 50:
    send_alert("High user concurrency detected")

五、性能优化与注意事项

日志轮转处理：配置logrotate定期归档wtmp文件，避免单文件过大影响查询效率
权限控制：确保只有授权用户可访问/var/log/wtmp等敏感文件
替代方案选择：对于大规模集群环境，建议采用集中式日志管理系统替代本地WHO命令
时间同步：确保所有节点NTP服务正常运行，避免时间戳不一致导致分析错误

六、版本兼容性说明

主流Linux发行版对WHO命令的实现保持高度兼容：

GNU coreutils版本：8.32及以上支持全部扩展参数
BusyBox实现：精简版保留核心功能，参数集有所缩减
容器环境：需挂载宿主机的/var/run/utmp方可正常工作

通过系统化的技术解析与实践指导，本文全面展现了WHO命令在Linux系统管理中的核心价值。从基础参数应用到高级脚本集成，从底层机制解析到典型场景实践，为运维人员提供了完整的技术解决方案。在实际应用中，建议结合日志分析工具构建立体化的用户行为审计体系，持续提升系统安全管控水平。

Linux系统用户登录审计利器：WHO命令详解与实践指南