Обработчик сеанса PHP по умолчанию сохраняет данные сеанса в виде serialize() копии массива $ _SESSION, и это помещается в файл, указанный в php.ini. Вы можете получить его во время выполнения с помощью session_save_path(). Обычно файлы создаются как
$sessionFile = 'sess_' . session_id();
Список всех сеансов - это всего лишь вопрос извлечения всех файлов в каталоге сеансов, которые начинаются с sess_. Тем не менее, если вы не выполняете длительные процессы, большинство сеансов будут «активными» только в течение короткого времени, когда кто-то действительно попадет на страницу вашего сайта.
Что касается системы входа в систему, на этом сайте есть множество ответов. Посмотрите ссылки "Связанные" в правой части этой страницы, чтобы найти некоторые из них.