Das Kommando who(1) zeigt die aktuell eingeloggten Benutzer an. Optionen, wie ‚-b‘ (Datum und Uhrzeit des letzten Boots) oder ‚-r‘ (aktueller Run-Level) dürften sehr bekannt sein. Es gibt aber auch eine Reihe von nicht so bekannten Optionen, wie ‚-d‘ (beendete bzw. tote Prozesse), ‚-p‘ (aktive von init(1) gestartete Prozesse) und andere. Auch nicht so bekannt ist die Möglichkeit eine Datei im utmp-Format als Argument anzugeben. Anstelle die gewünschten Informationen aus der Datei /etc/utmp (aktives System) zu lesen, werden die Informationen aus der angegebenen Datei gelesen. Dies ist insbesondere mit wtmp-Dateien nützlich, da diese für gewöhnlich über eine Log-Rotation regelmäßig rotiert werden.

Das Kommando who(1) bietet für alle definierten utmp Datensatz Typen eine Option, um diese anzuzeigen. Nachfolgend eine Übersicht der Typen und zugehörige who-Optionen:

1          RUN_LVL                     who –r

2         BOOT_TIME                who –b

3        OLD_TIME                     who –t

4        NEW_TIME                   who –t

5        INIT_PROCESS            who –p

6        LOGIN_PROCESS        who –l

7         USER_PROCESS         who, who –q, who –s, who –u

8         DEAD_PROCESS        who –d

9        ACCOUNTING              who –A