Windows 取证55 条

$MFT 主文件表解析

MFT 记录卷内每个文件的元数据：时间戳、大小、父目录与是否驻留，是补全已删除文件线索的基础。

用途	文件级时间线基础数据
字段	SI/FN 时间戳 / 逻辑大小 / 父目录 / 标志位

导出

MFTECmd.exe -f '$MFT' --csv out/ --csvf mft.csv
# 先对卷做取证副本再解析

$SI 与 $FN 时间不一致可提示时间戳篡改（timestomping）。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌