/var/log/lastlog 是一个二进制文件，其中包含有关用户上次登录系统的信息。
lastlog 文件是一个稀疏文件，这意味着“ls -l”报告的表观大小大于文件的实际磁盘使用量（du），因为并非文件中的所有块都分配在磁盘上。

稀疏文件是一种计算机文件，当分配给文件的块大部分为空时，它会尝试更有效地使用文件系统空间。
这是通过将表示空块的简要信息（元数据）而不是构成块的实际“空”空间写入磁盘来实现的，使用较少的磁盘空间（即稀疏文件包含记录存在的零块，但没有磁盘上分配的空间）。
仅当块包含“真实”（非空）数据时，才会将完整块大小作为实际大小写入磁盘。

在读取稀疏文件时，文件系统在运行时透明地将表示空块的元数据转换为填充零字节的“真实”块。
应用程序不知道这种转换。
稀疏文件通常用于磁盘镜像、数据库快照、日志文件等。

lastlog 文件包含有关用户上次登录系统的信息。
如果我们希望保留此信息，请在重新创建 /var/log/lastlog 文件或者将现有 /var/log/lastlog 文件复制到备用位置之前使用 lastlog 命令导出日志信息。

1. 备份现有的 lastlog 内容。

# lastlog > /tmp/lastlog.txt

或者

# cp /var/log/lastlog /opt/lastlog.bkp

2. 现在使用以下任一命令覆盖文件：

# >/var/log/lastlog

或者

# cat > /var/log/lastlog