日志分类：
一、/var目录
一些数据库如MySQL则在/var/lib下，用户未读的邮件的默认存放地点为/var/spool/mail
二、:/var/log/
系统的引导日志:/var/log/boot.log，例如：
1 Feb 26 10:40:48 sendmial : sendmail startup succeeded #邮件服务启动成功!
系统日志一般都存在/var/log下，常用的系统日志如下:
1 /var/log/dmesg #核心启动日志:
2 /var/log/messages #系统报错日志，系统启动时的状态信息，运行时的状态信息。比如某个人的身份切换为 root等。如果服务正在运行，比如 DHCP 服务器，您可以在 messages 文件中观察它的活动。
1 /var/log/maillog #邮件系统日志:
2 /var/log/xferlog #FTP系统日志:
3 /var/log/secure #安全信息和系统登录与网络连接的信息:
4 /var/log/wtmp #记录所有的登录和退出登录，二进制文件，须用last来读取内容
5 # who -u /var/log/wtmp 查看信息
6 /var/log/spooler #News日志
7 /var/log/rpmpkgs #RPM软件包
8 /var/log/XFree86.0.log #记录 Xfree86 Xwindows 服务器最后一次执行的结果。如果进系统图形界面失败就找他。
1 /var/log/boot.log #引导日志 记录开机启动讯息，dmesg | more
2 /var/log/cron #cron(定制任务日志)日志:
文件 /var/run/utmp 记录着现在登录的用户。
文件 /var/log/lastlog 记录每个用户最后的登录信息。
文件 /var/log/btmp 记录错误的登录尝试。
less /var/log/auth.log 需要身份确认的操作
lastlog查询最后登录
系统账户诸如bin、daemon、adm、uucp、mail等决不应该登录，如果发现这些账户已经登录，就说明系统可能已经被入侵了。若发现记录的时间不是用户上次登录的时间，则说明该用户的账户已经泄密了。
命令who /var/log/wtmp将报告自从wtmp文件创建或删改以来的每一次登录
who /var/log/wtmp