不能直接清空 /var/log/wtmp 和 /var/log/lastlog，因其为二进制文件，echo > 会导致文件损坏、时间戳归零、last 报错或显示“Never logged in”，极易暴露异常操作。
直接清空 /var/log/wtmp 和 /var/log/lastlog 不安全，会留下明显痕迹——比如 last 或 lastlog 突然返回空输出，或时间戳变为 1970 年，管理员一眼就能识别异常。
为什么不能用 echo > /var/log/wtmp
这两个文件是二进制结构（utmp/wtmp 格式），不是文本日志。echo > file 会把文件截断为 0 字节，但内核和用户态工具（如 last）仍能检测到该文件被破坏：比如 last 报错 Cannot open /var/log/wtmp: Invalid argument，或只显示极早期（1970-01-01）的伪造记录。更关键的是，清空后所有登录时间变成“未登录”，lastlog -u root 显示 **Never logged in**，这在生产环境等于自曝操作。
真正可用的替代方案只有两个
要么用系统级工具精准删除单条记录（推荐），要么用专用二进制编辑器修补时间戳和 IP 字段（高风险，需额外工具）：
- 使用
logrotate配合prerotate脚本，在日志轮转时条件性截断旧记录（适合运维场景，不适用于即时清除） - 用
truncate -s 0 /var/log/wtmp+ 立即重启rsyslog和systemd-logind（部分发行版可缓解，但lastlog仍无法恢复，且utmp可能不同步） - 最隐蔽的方式：用
utmpdump（来自util-linux）导出、过滤、再用utmpdump -r重写回文件——但该工具默认不安装，且重写后若校验失败，who或w可能崩溃
lastlog 文件不能简单清空
/var/log/lastlog 是按 UID 索引的稀疏二进制文件，长度固定（约 UID_MAX * 296 字节）。直接 echo > lastlog 会导致所有用户显示“从未登录”，而真实环境中至少 root、syslog 等系统账户必有记录。正确做法是只覆盖目标 UID 对应的 296 字节块，例如用 dd 填充零：
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
dd if=/dev/zero of=/var/log/lastlog bs=1 count=296 seek=$((1000*296)) conv=notrunc
其中 1000 是目标用户的 UID。漏算偏移或 conv=notrunc 缺失，就会破坏后续所有用户记录。
清空前必须检查依赖服务状态
很多服务（如 sshd、systemd-logind、rsyslog）会在运行中持续写入 wtmp 和 lastlog。如果边写边清，可能触发文件锁冲突、写入失败甚至进程 panic。务必先确认：
- 是否已停用
systemd-logind：systemctl stop systemd-logind -
sshd是否配置了UsePrivilegeSeparation no（旧版 OpenSSH）？否则子进程可能绕过权限直接写入 - 当前是否有活跃会话？
w或who输出非空时，强行清空会导致utmp和wtmp不一致，logout后无法正确注销
真正难的不是执行命令，而是让清空后的状态看起来“自然”——比如保留 root 的最近登录时间、抹掉特定 IP 段但不碰内网地址、维持 lastlog 文件大小不变。这些细节一旦忽略，比不清空还容易暴露。
