| 位置 | $Recycle.Bin\<SID>\ |
|---|---|
| 配对 | $I<id> 元数据 + $R<id> 内容 |
解析删除时间
解析删除时间
RBCmd.exe -d 'C:\$Recycle.Bin\S-1-5-21-XXXX' --csv C:\out\rb
Import-Csv C:\out\rb\'$Recycle.Bin.csv' | Select-Object -First 5 DeletedOn, FileName$I 中的删除时间为 FILETIME(UTC)，导出后可直接并入时间线。
回收站删除时间（$I 记录）
每个进入回收站的文件在 $Recycle.Bin 下生成 $I 与 $R 两个文件：$I 记录原始路径、大小与删除时间，$R 保存内容。
易错点
- 不同 SID 目录分开处理
- 清空回收站会连 $I 一起删除，残留 $R 的解释要谨慎
数据来源与参考
- RBCmd 官方文档（Eric Zimmerman）
- Microsoft Learn（回收站结构）