| 信号 | $SI 与 $FN 时间组差异；crtime 晚于 mtime |
|---|---|
| 工具 | MFTECmd 导出 $MFT，对比两组时间列 |
导出并对比
导出并对比
MFTECmd.exe -f 'C:\case\$MFT' --csv C:\out\mft
# 对比 $SI 与 $FN 的 Created/Modified 列差异行
Import-Csv C:\out\mft\'$MFT.csv' | Where-Object { $_.'SI Created' -ne $_.'FN Created' } | Select-Object -First 10正常系统里两组时间也可能有微小差异，重点是差异的方向与幅度是否与操作场景相符。