【取证分析】Linux查看用户密码修改时间

在/etc/shadow文件里面，第三个字段标识表示密码修改日期：这个是表明上一次修改密码的日期与1970-1-1相距的天数。如果账户自创建后，没有修改过密码，就可以使用这个字段来查找账号创建日期。

# 显示:

[root@localhost ~]# awk -F ":" '{print $1,$3}' /etc/shadow | grep 查看的账户名
查看的账户名 日期
[root@localhost ~]# date -d "1970-01-01 日期 days" "+%Y/%m/%d %H:%M:%S" 
2018/05/20 00:00:00

# 操作:

[root@localhost ~]# awk -F ":" '{print $1,$3}' /etc/shadow | grep yunwei
yunwei 17671
[root@localhost ~]# date -d "1970-01-01 17671 days" "+%Y/%m/%d %H:%M:%S" 
2018/05/20 00:00:00