var/log/lastlog、/var/log/wtmp和/ var/run/utmp文件中，这三个文件以二进制格式保存了这些用户的登录数据。
其中/var/run/utmp文件中保存的是当前系统用户的登录记录，因此这个文件会随着用户进入和离开系统而不断变化，而它也不会为用户保留很长的记录，只保留当时联机的用户记录。系统中需要查询当前用户状态的程序，如 who、w等就需要访问这个文件。 utmp可能不包括所有精确的信息，某些突发错误会终止用户登录会话，当没有及时更新 utmp记录，因此utmp的记录不是百分之百的可以信赖的。
而/var/log/wtmp保存了所有的登录、退出信息，以及系统的启动、停机记录，因此随着系统正常运行时间的增加，它的大小也会越来越大，增加的速度依赖于系统用户登录次数。因此可以利用这个日志用来查看用户的登录记录，last命令就通过访问这个文件来获得这些信息，并以反序从后向前显示用户的页码：[1] [2] [3] [4] [5] [6] 第5页、共6页 |
