utmp / wtmp / btmp Login Records
| Format | utmp / wtmp / btmp Login Records |
|---|---|
| Kurzname | utmp |
| Kategorie | Log |
| Plattformen | Linux |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Binäre Login-Datensätze unter Linux und anderen Unix-Systemen: utmp (aktuelle Sitzungen, /run/utmp oder /var/run/utmp), wtmp (Historie von Login/Logout, Boot und Herunterfahren, /var/log/wtmp) und btmp (fehlgeschlagene Logins, /var/log/btmp). Jeder Datensatz enthält Typ, PID, Terminal, Benutzername, entfernten Host oder IP und einen Zeitstempel. Der Aufbau der Datensätze unterscheidet sich zwischen Betriebssystemen und Architekturen (glibc: 384 Bytes). Kein Header und keine Signatur; Datensätze werden an Größe und Aufbau erkannt. Die Dateien haben keinen Integritätsschutz und können bearbeitet oder gekürzt werden. btmp kann Passwörter enthalten, die versehentlich als Benutzername eingegeben wurden. Einige Distributionen (z. B. openSUSE seit 2023) haben utmp/wtmp/lastlog durch das Y2038-sichere, SQLite-basierte wtmpdb und lastlog2 ersetzt.
Signaturen
Nicht erfasst
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- utmp(5) — Linux manual page https://man7.org/linux/man-pages/man5/utmp.5.html
- Utmp login records format (libyal/dtformats) https://github.com/libyal/dtformats/blob/main/documentation/Utmp%20login%20records%20format.asciidoc
Diesen Eintrag zitieren
Crush-Format-Referenz, „utmp / wtmp / btmp Login Records“. https://kalink0.github.io/crush-forensics/formats/de/utmp/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden