Представиться системе
Компьютерно - техническая экспертиза
0x6874 0x7470 0x3A2F 0x2F63 0x6F6D 0x7075 0x7465 0x722D 0x666F 0x7265 0x6E73 0x6963 0x732D 0x6C61 0x622E 0x6F72 0x672F
Computer forensics and investigations

Просмотры
Навигация
Инструменты

Временные метки MAC

Материал из Компьютерно-техническая экспертиза

Перейти к: навигация, поиск

Временные метки MAC — это совокупность временных меток изменения (M), доступа (A) и создания (C) какого-либо файла, либо директории.

Содержание

Особенности

В ОС Windows семейства NT

В файловой системе FAT время создания файла имеет точность в 10 миллисекунд, время изменения файла — в 2 секунды, время доступа - в 1 день. В файловой системе NTFS время доступа имеет точность в 1 час. Статья MSDN.

Особенности файловой системы FAT

Особенности файловой системы NTFS

В NTFS каждому файлу соответствует 8 временных меток (четыре в атрибуте $STANDARD_INFORMATION, четыре в атрибуте $FILE_NAME). NTFS дополнительно хранит время модификации записи MFT (E).

Пример:

$STANDARD_INFORMATION Attribute Values:
Flags: Archive
Owner ID: 0
Last User Journal Update Sequence Number: 16545288
Created:	Sat Oct  8 10:34:56 2005
File Modified:	Sat Oct  8 10:34:56 2005
MFT Modified:	Sat Oct  8 10:34:56 2005
Accessed:	Sat Oct  8 10:34:56 2005

$FILE_NAME Attribute Values:
Flags: Archive
Name: 123.txt
Parent MFT Entry: 3594 	Sequence: 18
Allocated Size: 0   	Actual Size: 0
Created:	Sat May  9 09:51:58 2009
File Modified:	Sat May  9 09:51:58 2009
MFT Modified:	Sat May  9 09:51:58 2009
Accessed:	Sat May  9 09:51:58 2009

(примечание: временные метки $STANDARD_INFORMATION были модифицированы при помощи Timestomp)

Другие файловые системы

Большинство файловых систем Unix-подобных ОС не хранят время создания файла (например, ext2, ext3 и ReiserFS). В данных файловых системах присутствует время изменения метаданных файла.

См. также

Последнее изменение этой страницы: 00:56, 30 мая 2009.К этой странице обращались 17 539 раз.