可通过向日葵客户端日志、历史记录功能、macOS控制台及LittleSnitch四种方式追溯远程连接时间、设备来源与操作行为：1. 客户端日志含connect/session_start等字段；2. 历史记录仅显示带时间戳的连接触发；3. 控制台搜索RemoteManagement/sunlogin捕获系统级连接事件；4. LittleSnitch监控sunlogin进程的外连IP与时间。
如果您使用向日葵远程控制软件，需要追溯某次远程连接的时间、设备来源或操作行为，则可通过其内置日志与系统级审计工具定位相关记录。以下是多种可验证的查看路径：
本文运行环境：MacBook Air M2，macOS Sequoia。
一、通过向日葵客户端直接访问本地日志文件
向日葵X及主流版本在本地存储结构化日志文件，包含连接发起时间、目标设备标识、会话持续时长等基础字段，适用于快速回溯单次连接事件。
1、双击启动向日葵X远程控制软件，确保已登录账号并完成初始化。
2、点击右上角三条横线图标，打开主菜单面板。
3、在下拉列表中选择“日志”选项，系统将自动打开日志所在文件夹。
4、在该文件夹内查找以.log为后缀的文本文件，例如sunlogin_client_20251224.log，双击用文本编辑器打开。
5、逐行浏览内容，重点关注含connect、session_start、remote_ip关键字的条目，确认源IP与时间戳。
二、调取向日葵历史记录功能（免费版适用）
免费版用户无法查看完整操作类型或网络地址，但可获取带时间戳的连接触发记录，满足基础时间线核验需求，所有数据仅保存于本机且不云端同步。
1、启动向日葵客户端后，点击右上角三条横线图标。
2、从菜单中选择“历史记录”，界面将弹出一个TXT格式的日志窗口。
3、窗口中显示形如“2025-12-23 16:42:11 发起远程控制”的条目，每行代表一次连接动作。
4、注意该记录无IP地址、操作详情或终止时间，若需进一步验证，须结合系统级日志交叉比对。
三、利用macOS系统控制台筛选远程管理日志
macOS原生日志服务会捕获RemoteManagement服务模块的启动、连接与认证事件，包括向日葵在内的第三方远程工具调用系统API时均会留下痕迹，具备较高可信度。
1、按下Command + 空格，输入“控制台”并打开应用。
2、在左侧边栏点击“报告”或“系统日志”，确保日志范围覆盖当前时段。
3、在右上角搜索框中依次输入关键词：“RemoteManagement”、“sunlogin”、“com.oray.sunlogin”。
4、筛选出的日志条目中，关注含Connection from、Authentication succeeded、Session established字样的行，其中包含源IP与UTC时间戳。
四、启用LittleSnitch实时网络监控追溯连接源头
LittleSnitch作为独立网络防火墙工具，可在应用发起外连瞬间拦截并记录完整连接元数据，包括进程名、目标域名/IP、端口、协议及调用时间，适用于验证是否为向日葵主动外连。
1、确认已安装并运行LittleSnitch 5，菜单栏显示橙色图标。
2、点击图标，选择“Network Monitor”进入实时监控视图。
3、在过滤栏中输入“sunlogin”或“oray”，限定只显示向日葵相关进程的连接行为。
4、观察列表中出现的OUTGOING连接项，记录其Remote Address列中的IP地址与Time列对应时刻。
5、双击任一连接条目，查看详细信息页中的Process Path，确认路径含SunloginClient.app以排除误判。
