| 用法 | istat [-o 偏移] [-z 时区] 镜像 inode |
|---|---|
| 配套 | 用 fls 或 ifind 先拿到 inode 号 |
查看 inode
查看 inode
istat -o 2048 -z UTC /evidence/disk.dd 12845 | sed -n '1,12p'Created 在部分文件系统缺失或为 0；Changed 是 inode 元数据变更时间，不等同于创建时间。
istat 读取单文件四类时间戳
istat 输出指定 inode 的元数据，包括 Modified、Accessed、Changed、Created 四类时间与块映射，是核对单个文件时间语义的常用工具。
易错点
- inode 号在不同分区会重复，必须带上分区偏移
- 时间显示取决于 -z 参数
数据来源与参考
- Sleuth Kit man 手册（istat）
- Sleuth Kit Wiki（MAC time 说明）