小弟一直有开机后观看使用者历史的习惯
（系统设定>使用者帐号>历史（图形接口的那个））
但是今早起床看的时候
我昨晚关机后居然没有显示结束阶段
反而是我今天早上开机才显示结束阶段
这样描述可能不太明了
大概就是
我昨晚23：58关机，然后今早7：29开机
正常来说应该是要显示
7:29 工作开始阶段
23：58 工作结束阶段
xx:xx 工作开始阶段（我昨天开机时间）
可是它却显示
7:29 工作结束阶段
XX：XX 工作开始阶段
我昨天23：58关机的讯息居然没出现（应该要有23:58 工作结束阶段）
也就是说我按下开机他却是工作结束阶段？？
囧我该不会被黑了吧
（应该不可能是我昨晚忘了关机，不然我按关机健他就不会开机惹）
syslog却没有问题（不然就是我23:58~早上开机这中间的资讯被砍掉了？）
下lastlog
全部都未登录过
auth.log 也没有出现我在23:58~7:29有登录的资讯
下last也是一样没有可疑的登入讯息
请问各位大大我该重灌了吗？还是自己吓自己....
还是我该贴哪里的资讯让各位前辈辨明问题呢
顺便问一下
Dec 6 11:45:30 ViewBook kernel: [12259.398729] [UFW BLOCK] IN=ppp0 OUT=
MAC= SRC=49.146.163.152 DST=114.46.92.200 LEN=62 TOS=0x00 PREC=0x00 TTL=113
ID=60815 PROTO=UDP SPT=4565 DPT=6531 LEN=42
这段是什么意思呢
有人P我但被防火墙挡下来的意思？

图形接口那个、lastlog、last 这三个的资料来源都不一样图形界面的应该是去跟 AccountsService 拿资料可以用这指令查gdbus call --system --dest=org.freedesktop.Accounts \--object-path=/org/freedesktop/Accounts/User`id -u` \--method=org.freedesktop.DBus.Properties.Get \org.freedesktop.Accounts.User LoginHistory检查看看是不是有哪一项的数字变得很奇怪

指令太长用反斜线*跳脱*换行符，换行到下一行继续写。

这清单应该是 登入时间 登出时间 从哪里登入

这好像是格林威治时间？

这是unixtime喔

所以是 syslog 有这段时间的资讯？有可能发生什么事情让档案没写进去吗？原本想说有没有可能空间用完除非硬盘空间本来就快满了，不然应该不太有机会让 log 写不进去。纯文字 log 通常都没有上限吧。