Timestomp
Материал из КОМПЬЮТЕРНО-ТЕХНИЧЕСКАЯ ЭКСПЕРТИЗА
Timestomp — программа для изменения временных меток MAC(E) в среде Windows. Поддерживает модификацию времени изменения, доступа, создания и модификации записи MFT (только на NTFS) файлов.
[править] Следы
Timestomp, как и многие другие утилиты, не поддерживает изменение временных меток атрибута $FILE_NAME в NTFS. В результате, возможна рассогласованность временных меток атрибутов $FILE_NAME и $STANDARD_INFORMATION. Пример:
Вывод istat для файла 123.txt после изменения временных меток (откат меток в 2005 год):
MFT Entry Header Values: Entry: 42726 Sequence: 14 $LogFile Sequence Number: 172051329 Allocated File Links: 1 $STANDARD_INFORMATION Attribute Values: Flags: Archive Owner ID: 0 Last User Journal Update Sequence Number: 16545288 Created: Sat Oct 8 10:34:56 2005 File Modified: Sat Oct 8 10:34:56 2005 MFT Modified: Sat Oct 8 10:34:56 2005 Accessed: Sat Oct 8 10:34:56 2005 $FILE_NAME Attribute Values: Flags: Archive Name: 123.txt Parent MFT Entry: 3594 Sequence: 18 Allocated Size: 0 Actual Size: 0 Created: Sat May 9 09:51:58 2009 File Modified: Sat May 9 09:51:58 2009 MFT Modified: Sat May 9 09:51:58 2009 Accessed: Sat May 9 09:51:58 2009 $OBJECT_ID Attribute Values: Object Id: 1324d227-0008-1883-11de-3c7d275f2185 Attributes: Type: $STANDARD_INFORMATION (16-0) Name: N/A Resident size: 72 Type: $FILE_NAME (48-4) Name: N/A Resident size: 80 Type: $OBJECT_ID (64-5) Name: N/A Resident size: 16 Type: $DATA (128-1) Name: $Data Resident size: 31
Переименование файла, однако, копирует временные метки из атрибута $STANDARD_INFORMATION в $FILE_NAME:
MFT Entry Header Values: Entry: 42847 Sequence: 6 $LogFile Sequence Number: 172058716 Allocated File Links: 1 $STANDARD_INFORMATION Attribute Values: Flags: Archive Owner ID: 0 Last User Journal Update Sequence Number: 16548360 Created: Sat Oct 8 10:34:56 2005 File Modified: Sat Oct 8 10:34:56 2005 MFT Modified: Sat May 9 09:53:32 2009 Accessed: Sat Oct 8 10:34:56 2005 $FILE_NAME Attribute Values: Flags: Archive Name: 789.txt Parent MFT Entry: 3594 Sequence: 18 Allocated Size: 16 Actual Size: 14 Created: Sat Oct 8 10:34:56 2005 File Modified: Sat Oct 8 10:34:56 2005 MFT Modified: Sat Oct 8 10:34:56 2005 Accessed: Sat Oct 8 10:34:56 2005 $OBJECT_ID Attribute Values: Object Id: 1324d227-0008-1883-11de-3c7d275f2186 Attributes: Type: $STANDARD_INFORMATION (16-0) Name: N/A Resident size: 72 Type: $FILE_NAME (48-6) Name: N/A Resident size: 80 Type: $OBJECT_ID (64-5) Name: N/A Resident size: 16 Type: $DATA (128-1) Name: $Data Resident size: 14
