如何在Linux中查看其他用户的命令历史记录？

在基于Debian的操作系统上，做tail /var/log/auth.log | grep username应该可以得到用户的sudo历史记录。我不相信有办法获得一个用户的普通+sudo命令的统一命令历史。

在基于RHEL的操作系统上，你需要检查/var/log/secure而不是/var/log/auth.log。

刚刚测试了以下内容，效果很好。

sudo vim /home/USER_YOU_WANT_TO_VIEW/.bash_history

如果用户发布了一个命令，如sudo somecommand，该命令将出现在系统日志中。

如果用户生成了一个带有eg、sudo -s、sudo su、sudo sh等字样的shell，那么该命令可能会出现在根用户的历史记录中，也就是`/root/.bashhistory`或类似的字样。

使用下面的命令

sysdig -c spy_users

如果 sysdig 没有安装，安装 这里 。

# zless /var/log/auth*是你的朋友。它甚至可以打开gzipped文件。你可以用:n向前或者:p向后跳转这些文件。

或者，你可以使用 # journalctl -f -l SYSLOG_FACILITY=10。在 Arch Linux wiki 阅读更多信息。

这个逻辑适用于很多其他目标。
那如何从/home/文件系统中读取每个用户的.sh/history呢？如果有成千上万的用户怎么办？

#!/bin/ksh
last |head -10|awk '{print $1}'|
 while IFS= read -r line
 do
su - "$line" -c 'tail .sh_history'
 done

这里 是脚本。