Linux 取证135 条

ext4 时间戳与 crtime 获取

ext4 为每个 inode 保存创建时间（crtime），常规 stat 未必显示，可用 debugfs 直接读取；四类时间戳互为补充用于还原文件生命周期。

时间	atime 访问、mtime 内容修改、ctime 元数据修改、crtime 创建
命令	stat -c '%n %w %y %z %x'、debugfs -R 'stat <路径>'

获取

stat -c '%n B=%w M=%y C=%z A=%x' /etc/passwd
debugfs -R 'stat /etc/passwd' /dev/sda1 2>/dev/null | grep -i crtime

stat 的 %w 在部分文件系统或内核上显示为短横线，此时改用 debugfs 读取。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌