网站后台登录日志审计，查看登录IP与时间

知识分享

2026-09-22 09:40

16 阅读

网站后台登录日志审计的核心目的，是记录谁在什么时间、从哪个IP地址登录了你的网站后台。
对于使用宝塔面板或自建LNMP环境的用户，日志通常分散在Web服务器、面板自身和系统认证三个位置。
本文按零基础可操作的方式，带你找到这些日志并提取登录IP与时间。

先确认你的网站后台类型

不同后台的日志存放位置差异很大，动手前先判断属于哪种情况：

宝塔面板后台：登录日志由面板程序自己记录，路径固定。
WordPress/Typecho等PHP后台：登录行为记录在Web服务器访问日志中，或由安全插件单独记录。
自建管理后台：如果程序自身写了登录日志表，优先查数据库；否则查Nginx/Apache访问日志。

本文重点覆盖宝塔面板和通用Linux服务器两种场景，命令可直接复制执行。

宝塔面板：查看面板登录IP与时间

宝塔面板的登录日志默认保存在 /www/server/panel/logs/ 目录下。

操作步骤：

通过SSH登录服务器，执行以下命令查看日志文件列表：

ls -lh /www/server/panel/logs/

面板登录记录通常在 request.log 或 panel.log 中。使用grep筛选登录相关条目：

grep -i "login" /www/server/panel/logs/request.log | tail -20

如果日志量较大，只提取IP和时间字段。宝塔日志格式类似 2024-01-15 10:23:45 192.168.1.100，可用awk截取：

awk '{print $1, $2, $3}' /www/server/panel/logs/request.log | tail -30

验证方式： 执行后应看到类似 2024-01-15 10:23:45 你的IP 的输出。
如果为空，说明该日志文件未记录登录事件，换查 panel.log。

Linux命令行：从系统日志追踪登录

如果后台是自行部署的管理系统，登录行为可能记录在系统认证日志中。

查看最近登录成功的用户和IP：

last -i | head -20

last 命令读取 /var/log/wtmp，显示用户名、终端、登录IP和时间。
加上 -i 参数会显示IP地址而非主机名。

查看失败登录尝试：

lastb | head -20

lastb 读取 /var/log/btmp，需要root权限。
如果提示文件不存在，说明系统未启用失败记录。

从secure日志中筛选SSH登录：

grep "Accepted" /var/log/secure | tail -20

CentOS/RHEL系统使用 /var/log/secure，Ubuntu/Debian使用 /var/log/auth.log。
输出中的IP即为登录来源。

Web访问日志：定位后台登录请求

对于PHP类后台，登录请求会出现在Nginx或Apache访问日志中。

Nginx日志路径通常为：

/www/wwwlogs/你的域名.log

筛选登录请求（以/login或/admin路径为例）：

grep -E "POST /(login|admin)" /www/wwwlogs/你的域名.log | awk '{print $1, $4}' | tail -30

输出格式为 IP [时间]，时间字段包含在方括号中。
这样能快速看到哪些IP在什么时间尝试登录后台。

避坑与常见问题

日志被轮转或清空：Linux日志默认按周或按大小轮转，旧日志可能被压缩为 .gz 文件。
查看时先用 ls 确认是否有 .1、.gz 后缀的文件，再用 zcat 或 zgrep 读取。

宝塔面板日志不记录登录IP：部分旧版本面板可能不记录完整IP，建议升级到较新版本，或在面板设置中开启操作日志。
具体以宝塔官方文档和面板实际显示为准。

权限不足：lastb、/var/log/secure 等需要root权限。
普通用户执行会提示权限拒绝，使用 sudo 或切换到root后再操作。

IP显示为127.0.0.1：如果网站前面有CDN或反向代理，访问日志中记录的可能是代理IP而非真实客户端IP。
需要在Nginx配置中设置 set_real_ip_from 和 real_ip_header，具体参数以你的代理服务商文档为准。

如何验证审计结果是否可靠

查看日志后，建议做一次交叉验证：

用 last -i 的结果与Web访问日志中的登录时间对比，确认时间戳一致。
如果发现陌生IP，先用 whois 陌生IP 查询归属地，再决定是否封禁。
在宝塔面板的“安全”页面中，可以查看面板操作日志，与命令行结果相互印证。

一个可独立执行的判断条件：如果同一IP在短时间内出现大量失败登录记录，且时间集中在非工作时段，应优先视为异常登录尝试，建议立即修改后台密码并限制该IP访问。

常见疑问

问：网站后台登录日志审计需要每天做吗？
不需要手动每天查。可以配置日志分析脚本或使用宝塔的日志监控功能，设置异常登录告警。手动审计建议至少每周一次，重点看失败登录和陌生IP。

问：查看登录IP与时间需要安装额外软件吗？
不需要。本文用到的 last、grep、awk 都是Linux系统自带命令，宝塔面板也自带日志文件。

问：日志中看不到登录记录怎么办？
先确认后台程序是否自行记录了登录日志。如果没有，只能从Web访问日志中间接推断。部分程序需要开启调试模式或安装安全插件才会记录登录事件。

完成以上步骤后，你应该已经能定位到网站后台的登录IP与时间。
建议把常用筛选命令保存为脚本，后续审计时直接执行，效率更高。

网站密码加盐存储，CMS用户密码安全方案