溯源思路与流程68 条

fls 生成 bodyfile

fls 递归列出镜像中的文件系统条目，-m 参数输出 bodyfile 兼容格式，接 mactime 即可得到文件系统时间线。

关键参数	-r 递归、-m 挂载点前缀、-z 时区、-o 分区偏移（扇区）
常见偏移	MBR 分区起始扇区 × 512 字节

生成与渲染

fls -o 2048 -r -m "/" -z UTC /evidence/disk.dd > bodyfile.txt
wc -l bodyfile.txt
mactime -b bodyfile.txt -z UTC -d > timeline.csv

偏移写错会解析到分区表或空白区域，先用 mmls 确认各分区起始扇区。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌