Linux中还原指定用户操作行为需组合多种机制：1. 查/home/username/.bash_history（退出后写入，可被清空）；2. 用last/journalctl查登录时间窗口；3. 若启用auditd，用ausearch -ui UID查精确命令审计日志；4. 查/var/log/auth.log或/var/log/secure中的sudo记录。
Linux 中没有直接记录“某个用户执行了什么命令”的统一日志，但可以通过组合系统日志、Shell 历史和审计机制来还原指定用户的操作行为。关键取决于你是否提前开启了相关记录功能。
1. 查看该用户的 Shell 命令历史（需用户未清空且家目录可访问）
每个用户在终端执行的命令通常会临时保存在 ~/.bash_history（或 ~/.zsh_history 等，取决于 shell 类型）中：
- 用 root 或有权限的账户执行：
cat /home/username/.bash_history - 注意：该文件只记录当前会话退出后写入的内容，且用户可手动清空（如执行
history -c或删文件） - 若用户使用了多终端、未正常退出，或设置了
HISTSIZE=0，历史可能不全甚至为空
2. 检查系统认证与登录日志（记录谁、何时、从哪登录）
这些日志不记录具体命令，但能确认用户活动时间窗口，辅助交叉验证：
-
last -a | grep username—— 查登录登出记录（来自 /var/log/wtmp） -
lastb -a | grep username—— 查失败登录（/var/log/btmp，需 root） -
journalctl _UID=$(id -u username) --since "2024-01-01" | grep "bash\|zsh"—— 查 systemd 下该用户启动的 shell 进程（部分发行版支持）
3. 启用并查询 auditd 审计日志（最可靠，但需提前配置）
Linux 内核的 auditd 可精确记录用户执行的命令、文件访问、系统调用等，是生产环境推荐方式：
- 确认服务运行：
systemctl status auditd - 添加规则监控指定用户（例如 UID 1001）的命令执行：
auditctl -a always,exit -F uid=1001 -F arch=b64 -S execve（CentOS/RHEL x86_64） - 查询该用户相关记录：
ausearch -ui 1001 --start today | aureport -f -i或ausearch -ui 1001 --start recent | ausearch --input-logs | grep execve - 日志默认存于 /var/log/audit/audit.log，长期使用建议配置 logrotate 和远程日志归集
4. 检查 sudo 日志（仅限用户使用 sudo 执行的提权命令）
只要用户用了 sudo，无论是否成功，都会记录在 /var/log/auth.log（Debian/Ubuntu）或 /var/log/secure（RHEL/CentOS）：
grep "username" /var/log/auth.log | grep "sudo"- 输出包含命令、时间、终端、是否成功等，例如：
Mar 15 10:23:41 server sudo: username : TTY=pts/2 ; PWD=/home/username ; USER=root ; COMMAND=/bin/systemctl restart nginx
