![如何访问更改的文件时间戳元数据](https://linux22.com/image/1576434/%E5%A6%82%E4%BD%95%E8%AE%BF%E9%97%AE%E6%9B%B4%E6%94%B9%E7%9A%84%E6%96%87%E4%BB%B6%E6%97%B6%E9%97%B4%E6%88%B3%E5%85%83%E6%95%B0%E6%8D%AE.png)
我了解 NTFS 文件时间戳元数据包括以下内容:
- 创建
- 访问时间
- 修改的
该数据可在 Windows 资源管理器 UI 和其他地方访问。
然而,我相信时间戳元数据包括
- 已更改
显然,更改时间戳是文件的主文件表条目发生更改的时间(参见https://app.pluralsight.com/library/courses/digital-forensics-file-systems-getting-started/)。
我怎样才能获取该值?
答案1
根据我的发现,文件更改时间字段(也称为 MFT 时间戳)不能通过使用标准 API 函数来检索,这些函数仅返回创建、修改和访问三个标准时间。
要获取更改时间,您需要读取文件的MFT条目并自行分析。
您将在 Technet 中找到一个检索所有 MFT 数据的示例 PowerShell 脚本:
获取文件的 MFT(ChangeTime)时间戳(下载链接)。
作者对该脚本的解释可以在文章中找到:
使用 PowerShell 查找文件的 MFT 时间戳。