w 는 현재 사용자만을 구별하죠.
저도 아직 배우고 있는 입장이라 어떻게 확실한 답변은 못할것 같습니다.
 저는 last 를 많이 이용합니다.
 # last | more
 자세한 것은 man last 해보시면 어느 파일에 저장되는지 아실 수 있을것입니다.
 그리고 공격을 받고 있다고 의심이 되신다면 아래와 같은 방법도 추천합니다.
<hr>
어디선가 서버를 공격하고 있다면 그쪽 IP가 억세스 못하게 막아야 겠죠?
그런데 ipchain 이 없거나 Kernel이 지원하지 않게 컴파일 되어면?
 route add -host xxx.xxx.xxx.xxx reject
 xxx 가 그쪽 IP입니다.
이렇게 하는 순간 그쪽에선 아무런 억세스도 하지 못하게 됩니다.
 다시 해제하려면 add 대신 del 을 해주거나 reject를 빼면 됩니다.
 ps. route대신 ipchains을 추천합니다.<hr>
 그리고 저역시 그냥 들은 내용인데... 게시판 같은 곳에 스크립트를
이용해서 커널 버그를 이용 하면 텔넷로그인이 떨어지는 버그가 있다고
하더군요. 그 버그를 이용하지 않았을까 싶습니다.
 : 서버로 로긴후 버릇처럼.... 쉘상에서 w 를 눌렀습니다.
: 그런데...
: 왠 nobody... 결코 w 상에서는 모습을 드러내지 않던 놈이 2놈이 있더라구요.
: 한놈은 ftp ... 한놈은 -bash 상태로...
: nobody   pts/1    -                 9:01pm 42:56   0.07s  0.07s  -bash
:
:
: 이상하더라구요..
:
: 그래서... 로그파일을 살폈습니다.
: 대충 살펴서 부분부분만 카피를 했습니다.
: 그런데 왠걸.... 좀 있다가 다시 확인차... 들어 갔더니...21:01시간대(이놈
: 이 작업을 시작한 시간으로 예상됨) 에 부분들이 없어 졌어요...
:
: 음... 물론 아이피랑은 확보 해 놨지만...
:
: 한번 봐주십시오...로그파일입니다.
: (참고로 저는 이시간대에 한텀을 띄운적이 없습니다. 결코...낮에 잠깐 접속하
: 고 안 했습니다. )
:
:
: /var/log/message
:
: nobody   26397   759  0 21:00 ?  0:00:02 /usr/local/apache/bin/httpd
: nobody   26473 26469  0 21:01 pts/1    00:00:00 -bash
:
:
:
: /var/log/secure
:
: nobody   26397   759  0 21:00 ?       0:00:02 /usr/local/apache/bin/httpd
: root     26469 26177  0 21:01 ?       00:00:00 /usr/bin/X11/hanterm -ls -
: display 211.198.246.237:0.0
: nobody   26473 26469  0 21:01 pts/1   00:00:00 -bash
:
:
:
: 그리고 top 명령을 때려 보니..
: 전혀 모습을 드러내지 않던....magicdev 란 놈이 실행중입니다.
: 저는 한번도 본적이 없는데...어디다가 사용되는 놈인지도 모르겠구요...
: 이놈은 또 뭐죠..?
:
:
: 기타 등등 의심되는 로그파일입니다. (이부분은 부분부분 카피해서 시간순거
: 가 아닙니다.)
:
:
: Jan 26 21:25:26 www proftpd[27503]: www.도메인.com (211.198.246.237
: [211.198.246.237]) - FTP session closed.
: Jan 26 21:25:26 www kernel: VFS: busy inodes on changed media.
: Jan 26 21:25:58 www last message repeated 16 times
: Jan 26 21:26:13 www last message repeated 7 times
: Jan 26 21:26:13 www named[558]: "134.116.211.in-addr.arpa IN NS" points
: to a CNAME (ns.도메인.com)
: Jan 26 21:26:15 www kernel: VFS: busy inodes on changed media.
: Jan 26 21:26:23 www last message repeated 4 times
: Jan 26 21:26:23 www inetd[544]: pid 27572: exit status 1
: Jan 26 21:26:25 www kernel: VFS: busy inodes on changed media.
: Jan 26 21:26:57 www last message repeated 16 times
: Jan 26 21:27:17 www last message repeated 10 times
: Jan 26 21:27:19 www inetd[544]: pid 27624: exit status 1
: Jan 26 21:27:19 www kernel: VFS: busy inodes on changed media.
: Jan 26 21:27:51 www last message repeated 16 times
:
:
: Jan 26 21:18:38 www rpc.statd[389]: gethostbyname error for ^X??X??Y??Y??
: Z??Z??[??[??8x%8x%8x%8x
: %8x%8x%8x%8x%8x%236x%n%137x%n%10x%n%192x%
: n~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~P~
:
: Jan 25 18:08:49 www kernel: VFS: busy inodes on changed media.
: Jan 25 18:09:21 www last message repeated 17 times
: Jan 25 18:09:22 www inetd[544]: pid 4810: exit status 1
: Jan 25 18:09:23 www kernel: VFS: busy inodes on changed media.
:
:
:
: 마지막으로 VFS 란 놈은 또 뭐죠...
:
:
:
: 초보 서버 운영자의 한탄스러운 고백이었습니다.
:
: =_-;;;;
:
: --
: =_-;;;;;;;;