检查用户登录记录:

more /var/log/secure
who /var/log/wtmp

root账户下输入:

su - username

切换到username下输入:

history

能看到这个用户历史命令,默认最近的1000条.