Come accedere ai metadati del timestamp del file modificato

Comprendo che i metadati del timestamp del file NTFS includono quanto segue:

Creato
Accessed
Modificata

Questi dati sono accessibili nell'interfaccia utente di Windows Explorer e altrove.

Tuttavia, credo che i metadati del timestamp includano

Cambiato

Apparentemente il timestamp modificato è quando la voce della tabella del file principale del file è stata modificata (vedi https://app.pluralsight.com/library/courses/digital-forensics-file-systems-getting-started/ ).

Come posso accedere a questo valore?

— fractor
fonte

Hai bisogno di un accesso specifico tramite le API di Windows?

— Grawity il

Alla fine, sì forse. Tuttavia, inizialmente vorrei solo vedere il valore per vedere se aiuta ciò che sto cercando di fare. Ho un'installazione che mette i file sulla macchina con le date di creazione in passato. Volevo dare un'occhiata al timestamp modificato e vedere se dà un valore più utile.

— fattore

Ho pubblicato una domanda relativa alla data di creazione superuser.com/questions/1381364/…

— fractor

Secondo i miei risultati, il campo Change Time Time, chiamato anche MFT Timestamp, non viene recuperato utilizzando le funzioni API standard, che restituiscono solo i tre tempi standard di creazione, modifica e accesso.

Per ottenere il tempo di modifica, è necessario leggere la voce MFT del file e analizzarla da soli.

Troverai un esempio di script PowerShell che recupera tutti i dati MFT in Technet:
Get MFT (ChangeTime) Data / ora di un file .

Una spiegazione di questo script da parte dell'autore si trova nell'articolo:
Trovare il timestamp MFT di un file usando PowerShell .

— harrymc
fonte

Grazie. Questa risposta mi ha portato a docs.microsoft.com/en-us/windows-hardware/drivers/ddi/content/… che restituisce una struttura contenente un valore ChangeTime che finora nei test ha identificato correttamente la data di inserimento dei file nel file system.

— fattore