Linux应急响应：查看文件的创建时间

各位好，我是风奕。今天和各位分享一个Linux应急响应过程中的小技巧。Linux kernel从4.11版本开始支持statx系统调用，比起stat系统调用，其返回结果更为丰富，其中就包含了文件的创建时间。glibc从2.28版本对于该系统调用进行了封装，stat命令(coreutils)从8.31版本开始也支持查看文件创建时间。

但是在应急响应场景下，无法保证上述的条件皆符合。那么此时应当如何获取文件的创建时间呢？首先需要文件系统的支持，例如ext4 xfs。其实文件系统记录了文件的创建时间，只不过内核不支持用户态获取，所以stat命令的结果中Birth time显示为空。此时可以通过debugfs读取磁盘中文件的inode进行获取：

debugfs -R "stat filename" filesystem | grep crtime

原文始发于微信公众号（风奕安全）：Linux应急响应：查看文件的创建时间