尽管安装程序保留了“创建日期”元数据，但仍可识别在特定日期在本地系统上创建的文件

Question

我安装了一个程序，安装程序创建的所有文件都具有相同的“创建日期”和“修改日期”元数据，表明软件创建者上次修改文件的日期。此信息对于用于创建安装包的文件来说是正确的，但从技术上讲，对于我电脑上这些文件的副本来说并不正确，因为这些副本一小时前还不存在。

当我尝试手动识别该程序究竟安装了什么时，就会出现问题 - 例如，它是否在其自己的安装目录之外创建了任何文件。

我可以设想一些可能的解决方案，尽管我不知道如何实现其中任何一个：

• 我能否按照文件在我使用的计算机上首次创建的日期和时间来搜索文件，而不是按照元数据中的日期来搜索？例如，NTFS 文件表中记录的创建日期和时间。
• 我可以查看 Windows 执行的最近操作的按时间顺序排列的列表吗？其中包括文件的创建和复制？
• 除此之外，我是否可以让 Windows 记录将来在我的计算机驱动器上创建或复制到其中的所有文件的此日期？

Answer 1

由于您的目标至少有一部分是“它是否在其自己的安装目录之外创建了任何文件”，因此您可以在虚拟环境中运行安装应用程序，例如，沙盒，可以配置为创建可能位于可执行文件之外的其他位置的任何附加文件，例如程序数据或者程序文件/公共文件，在同义词文件夹中沙盒目录结构。

然后可以删除这些文件，或者可以通过沙盒到达预定位置。

这应该可以清楚显示安装应用程序所做的任何文件更改以及注册表更改。Nirsoft 的注册表更改视图是另一个用于在安装之前/之后比较注册表差异的工具。