网上看到一段文章如下：y?C3p7mt
       登录时，login程序填写这样一个结构，然后将其写入到utmp文件中，同时也将其添写到wtmp文件中。注销时， init进程将utmp文件中相应的记录擦除(每个字节都填以0 )，并将一个新记录添写到wtmp文件中。读wtmp文件中的该注销记录，其ut_name字段清除为0。在系统再启动时，以及更改系统时间和日期的前后，都在wtmp文件中添写特殊的记录项。
/C5K"nc/F7D      那么有两个问题我不太明白：
3j0m}1kf#H           1。既然注销时也把wtmp文件中的注销记录的ut_name字段清除为0，那么怎么知道是谁注销了呢？为什么要清除ut_name字段？ ]Rxfqz
          2。注销时候往wtmp文件中写入了注销记录，那么这个注销记录中是否有记录该用户登录了多长时间的内容？C&G
zm,S&b1[$p
     thanks

怎么知道？那是可以通过日志看的，为什么已经没有登陆的信息还要存在wtmp里？

但是ac命令是通过查看wtmp文件而实现的啊