1./var/log/boot.log

该文件记录了系统在引导过程中发生的事件，就是说linux系统开机自检过程的信息显示

如图：

2./var/log/cron

该文件记录crontab守护进程crond所派生的子进程的动作。前面加上用户 登入时间和PID以及派生的进程的动作

CMD的一个动作是cron派生出一个调度进程的常见情况。 REPLACE(替换)动作记录用户对cron文件的更新

该文件列出了要周期性的执行的任务调度 RELOAD动作在REPLACE动作后不久发生

这个意味着cron注意到一个用户的cron文件被更新而cron需要把它重新装入内存 该文件可能会查到一些反常的情况

该文件如图：

3/var/log/maillog

改日志文件记录了每一个发到系统或者系统发出的电子邮件的活动

它可以用来查看用户使用了那个系统发送工具或者把数据发送到那个系统

该文件的格式是每一行包含日期 主机名 程序名 后面是包含PID或者内核标识的方括号 一个冒号和一个空格 最后是消息

该文件有一个不足：就是被记录的入侵企图和成功的入侵事件被俺没在大量的正常进程的记录中

但该文件可以由/etc/syslog文件进行定制、由/etc/syslog.conf配置文件决定系统如何写入/var/log/messages

4./var/log/syslog

默认Fedora不生成该日志文件 但可以配置/etc/syslog.conf让系统生成改日志文件

它和/etc/log/messages日志不同 。它只记录警告信息 常常是系统出问题的信息 所以更应该关注改文件

要让系统生成改日志文件。在/etc/syslog.conf文件中加上:*.warning /var/log/syslog

该日志文件能记录当用户登入时的login记录下的错误口令 Senmail的问题、su命令执行失败等信息、

该日志文件记录最近成功登入的事件和最后一次不成功的登入事件，由login生成、 在每次用户登入时被查询。该文件是二进制文件

需要使用lastlog命令查看 根据UID排序显示登入名。端口号和上次登入时间。如果某用户从来没有登入过。就显示为"** Never

logged in **". 该命令只能以root权限执行、简单的输入lastlog命令后酒会看到如图：

改图lastlog命令运行的结果

5/var/log/wtmp

该日志文件永久记录每个用户登入。注销以及系统的启动。停机的事件

因此随着系统正常运行时间的增加。该文件的大小也会越来越大。增加的速度取决于系统用户登入的次数

该日志文件可以用来查看用户登入的记录。last命令酒通过访问这个文件获得这些信息。并以反序从后向前显示用户的登入记录。last也能根据用户

终端tty或者时间显示相应的记录

6/var/run/utmp

该日志文件记录有关当前的登入的每个用户的信息，因此这个文件会随着用户登入和注销系统而不断变化。它只保留当时联机的用户记录

不会为用户保留永久记录 系统中需要查询单签用户状态的程序如 who, w,

users,finger等就需要访问这个文件 改日志文件并不能包括所有精确的信息

因为某写突发错误会终止用户登入会话。而系统没有及时更新utmp记录 因此改日志文件的记录不是百分之百值得信赖的

以上提及的3个文件(/var/log/wtmp,/var/run/utmp,/var/log/lastlog)是日志子系统的关键文件。都记录了用户登入的情况。这些文件的所有记录都包含了时间戳

这些文件是按二进制保存的。故不能用less

cat子类的命令直接查看这些文件。而是需要使用相关命令通过这些文件查看。其中utmp和wtmp文件的数据结构是一样的。而lastlog

文件则使用另外的数据结构。关于他们的具体数据结构的使用用man命令查询

每次有一个用户登入时login程序在文件lastlog中查看用户的UID 、如果存在

则把用户上次登入。注销时间和主机名写到标准输出中。然后login进程在lastlog中记录新的登入时间。打开utmp文件并插入用户的utmp记录

该记录一直用到用户登入退出的删除 utmp文件被各种命令使用。包括who ,w,users和finger

下一步 login程序打开文件wtmp附加用户的utmp记录。当用户登入退出时。具有更新时间搓的同一utmp记录附加到文件中

wtmp文件被程序last使用

7, /var/log/xferlog

该日志文件记录FTP会话。可以显示出用户向FTP服务器或者从服务器拷贝了什么文件，

该文件会显示用户拷贝到服务器上的用来入侵服务器的恶意程序。以及该用户拷贝了那些文件供她使用

该文件的格式为：第一个域是日期和时间。 第二个域是下载文件所花费的秒数。远程系统名称。文件大小。本地路径

传输类型(a:ASCII b：二进制)与压缩相关的标志或tar

或者“_”(如果没有压缩的话)传输方向(相对于服务器而言：i代表进o代表出)访问模式(a：匿名，g：输入口令，r：真实用户)、用户名、服务名(通常是ftp)、认证方法(l：RFC931，或0)，认证用户的ID或"*"。

图5是该文件的部分显示：