问题

如何判断哪个用户运行了某个命令？
如果用户清除了他们的 .bash_history ，如何知道谁运行了命令？

解决方法

使用进程记帐工具，我们可以获得有关谁运行特定命令的基本信息。
以下是找出谁运行命令的步骤。

1. 服务必须在记帐之前运行，这是通过以下命令实现的：

# /etc/init.d/psacct start

2. 可以使用以下命令启用它在每次启动时运行

# chkconfig psacct on

3. 要找出谁在运行特定命令，请将命令名称作为参数提供给 lastcomm 命令。

# lastcomm rm

它应该显示谁运行了rm命令。