Представиться системе
Компьютерно - техническая экспертиза
0x6874 0x7470 0x3A2F 0x2F63 0x6F6D 0x7075 0x7465 0x722D 0x666F 0x7265 0x6E73 0x6963 0x732D 0x6C61 0x622E 0x6F72 0x672F
Computer forensics and investigations

Просмотры
Навигация
Инструменты

Timestomp

Материал из Компьютерно-техническая экспертиза

Перейти к: навигация, поиск

Timestomp — программа для изменения временных меток MAC(E) в среде Windows. Поддерживает модификацию времени изменения, доступа, создания и модификации записи MFT (только на NTFS) файлов.

Следы

Timestomp, как и многие другие утилиты, не поддерживает изменение временных меток атрибута $FILE_NAME в NTFS. В результате, возможна рассогласованность временных меток атрибутов $FILE_NAME и $STANDARD_INFORMATION. Пример:

Вывод istat для файла 123.txt после изменения временных меток (откат меток в 2005 год):

MFT Entry Header Values:
Entry: 42726        Sequence: 14
$LogFile Sequence Number: 172051329
Allocated File
Links: 1

$STANDARD_INFORMATION Attribute Values:
Flags: Archive
Owner ID: 0
Last User Journal Update Sequence Number: 16545288
Created:	Sat Oct  8 10:34:56 2005
File Modified:	Sat Oct  8 10:34:56 2005
MFT Modified:	Sat Oct  8 10:34:56 2005
Accessed:	Sat Oct  8 10:34:56 2005

$FILE_NAME Attribute Values:
Flags: Archive
Name: 123.txt
Parent MFT Entry: 3594 	Sequence: 18
Allocated Size: 0   	Actual Size: 0
Created:	Sat May  9 09:51:58 2009
File Modified:	Sat May  9 09:51:58 2009
MFT Modified:	Sat May  9 09:51:58 2009
Accessed:	Sat May  9 09:51:58 2009

$OBJECT_ID Attribute Values:
Object Id: 1324d227-0008-1883-11de-3c7d275f2185

Attributes: 
Type: $STANDARD_INFORMATION (16-0)   Name: N/A   Resident   size: 72
Type: $FILE_NAME (48-4)   Name: N/A   Resident   size: 80
Type: $OBJECT_ID (64-5)   Name: N/A   Resident   size: 16
Type: $DATA (128-1)   Name: $Data   Resident   size: 31

Переименование файла, однако, копирует временные метки из атрибута $STANDARD_INFORMATION в $FILE_NAME:

MFT Entry Header Values:
Entry: 42847        Sequence: 6
$LogFile Sequence Number: 172058716
Allocated File
Links: 1

$STANDARD_INFORMATION Attribute Values:
Flags: Archive
Owner ID: 0
Last User Journal Update Sequence Number: 16548360
Created:	Sat Oct  8 10:34:56 2005
File Modified:	Sat Oct  8 10:34:56 2005
MFT Modified:	Sat May  9 09:53:32 2009
Accessed:	Sat Oct  8 10:34:56 2005

$FILE_NAME Attribute Values:
Flags: Archive
Name: 789.txt
Parent MFT Entry: 3594 	Sequence: 18
Allocated Size: 16   	Actual Size: 14
Created:	Sat Oct  8 10:34:56 2005
File Modified:	Sat Oct  8 10:34:56 2005
MFT Modified:	Sat Oct  8 10:34:56 2005
Accessed:	Sat Oct  8 10:34:56 2005

$OBJECT_ID Attribute Values:
Object Id: 1324d227-0008-1883-11de-3c7d275f2186

Attributes: 
Type: $STANDARD_INFORMATION (16-0)   Name: N/A   Resident   size: 72
Type: $FILE_NAME (48-6)   Name: N/A   Resident   size: 80
Type: $OBJECT_ID (64-5)   Name: N/A   Resident   size: 16
Type: $DATA (128-1)   Name: $Data   Resident   size: 14

Ссылки

Последнее изменение этой страницы: 14:01, 27 мая 2009.К этой странице обращались 5334 раза.