| 字段序 | MD5|name|inode|mode|UID|GID|size|atime|mtime|ctime|crtime |
|---|---|
| 时间单位 | Unix 秒（UTC 基准） |
示例行
示例行
0|/etc/passwd|12845|r--r--r--|0|0|2410|1767000000|1766999000|1766997000|0crtime 为 0 表示该文件系统或工具不提供创建时间。
bodyfile：TSK 兼容的时间中间格式
bodyfile 是 Sleuth Kit 系工具使用的行式文本格式，每条记录由管道符分隔为 11 个字段，可被 mactime 直接渲染为时间线。
易错点
- mode 字段是权限字符串而非数字
- 字段缺失会导致 mactime 解析错位，生成后先抽查几行
数据来源与参考
- Sleuth Kit（bodyfile 格式说明）