首页/安全/取证与溯源速查/mactime 渲染与字段解读
溯源思路与流程68 条

mactime 渲染与字段解读

mactime 把 bodyfile 渲染成可读时间线,输出日期、大小、类型、权限、属主与文件名,支持时间范围与 CSV 样式。

取证与溯源速查安全更新于 2026-10-12
常用参数-b bodyfile、-z 时区、-d 逗号分隔、-h 带表头
范围位置参数 起..止 限定输出窗口

限定窗口

限定窗口
mactime -b bodyfile.txt -z UTC -h -d 2026-01-01..2026-01-02 > day.csv
head -5 day.csv
-h 输出表头行,便于导入表格工具与统计脚本。

易错点

  • 日期范围用两个点连接,前后不要加空格
  • 没有 -z 时会按本地时区渲染,跨区协作易误读

数据来源与参考

  • Sleuth Kit man 手册(mactime)
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌