【电子数据取证时间问题】

admin
admin
admin
137432
文章
113
评论
2023年6月12日09:04:35评论32 views字数 1437阅读4分47秒阅读模式
题目如下：
以管理员权限打开WinHex，加载C盘，找到$MFT文件，该文件的0x50至0x6F之间有4个filetime时间戳，他们是小端字节序存储的。请尝试解析第一个时间戳到类似“2023-03-14 09:00:00”的格式，请写出详细的操作步骤并附上各环节必要的截图。
以下是参考答案：

步骤1：右击“WinHex”图标，选择“以管理员身份运行”。如下图所示。

【电子数据取证时间问题】

步骤2：点击WinHex菜单栏“工具”→“打开磁盘”，然后选择逻辑驱动器中的C盘[ 如果多个同学使用同一台电脑做实验，第一个同学选择C盘，第二个同学则可选择D盘，以此类推。]，并点击“确认”按钮。如下图所示。

【电子数据取证时间问题】

【电子数据取证时间问题】

步骤3：找到文件中0x50-0x57范围的数据，对于当前WinHex界面，此数据位于第五行前八个字节，即“A7 1E C7 89 E4 B8 D6 01”。如下图所示。

【电子数据取证时间问题】

步骤4：将数据转换为十六进制数字。由于此处的filetime时间戳是小端字节序（Little-endian）存储，“A7 1E C7 89 E4 B8 D6 01”表示的实际数字为“01D6B8E489C7AEA7”。

步骤5：将十六进制数字转换为十进制数字。打开Windows内置的计算器工具，点击菜单栏“查看”，选择“程序员”。在十六进制模式下输入“1D6B8E489C7AEA7””，然后点击“十进制”转换为十进制数字，即为“132496530757627559”。如图 5所示。

【电子数据取证时间问题】

根据filetime时间戳的定义，“时间起点”为1601-01-01 00:00:00，记录的时间精度为100纳秒（即10-7秒），所以数字“132496530757627559”意味着时间戳“A7 1E C7 89 E4 B8 D6 01”所表示的是从1601-01-01 00:00:00经过132496530757627559个100纳秒后的时间，即从1601-01-01 00:00:00经过13249653075秒的时间。
步骤6：日期时间计算。一天等于86400秒（60×60×24=86400）。13249653075/86400 = 153352.466145833；13249653075%86400 = 40275。所以步骤5中计算的时间为1601年1月1日后又经过了153352天加40275秒。

步骤7：日期计算。打开Windows内置的计算器工具，点击菜单栏“查看”，勾选“日期计算”。计算得知1601年1月日至2020年11月12日经过了153352天。如图 6所示。

【电子数据取证时间问题】

所以，“A7 1E C7 89 E4 B8 D6 01”代表的是2020年11月12日经过40275秒后的时间。
步骤8：时间计算。一小时等于3600秒。40275/3600 = 11.1875；40275%3600 = 675。进一步换算可知675秒等于11分15秒。

综上，filetime时间戳“A7 1E C7 89 E4 B8 D6 01”表示的时间是UTC时间2020-11-12 11:11:15，换算成北京时间则是2020-11-12 19:11:15。

【电子数据取证时间问题】

实际上，题目中的$MFT文件0x50至0x6F之间有4个filetime时间戳的第一个，正好是$MFT的创建时间，也是该分区的格式化时间。

Filetime时间戳在Windows中被广泛使用，NTFS文件系统中文件的时间全部是以这种格式保存。回收站痕迹、快捷方式文件、跳转列表中的时间也以filetime时间戳保存。

来源：取证杂谈，作者：胡壮

【电子数据取证时间问题】

原文始发于微信公众号（电子物证）：【电子数据取证时间问题】

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年6月12日09:04:35
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   【电子数据取证时间问题】http://cn-sec.com/archives/1798160.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息