专栏名称: 信息时代的犯罪侦查

一切行为皆有犯罪的可能性，而在信息时代，这一过程变得更加复杂或者隐晦了。本号致力于传播打击和预防犯罪的手段、方法、理念，并希望能够推动侦查犯罪的机制变革，而这需要了解方方面面的信息。

在NTFS卷之间进行复制后的文件时间戳问题的详考1

信息时代的犯罪侦查 · 公众号 · · 2018-11-07 23:41

正文

案例

随笔

知识

声音

其他

编者按

Windows7和Windows10系统中，在2个NTFS卷之间进行 复制粘贴 操作对“ 被复制的文件 ”和“ 粘贴操作中创建的新文件 ”的时间戳有什么影响？

本文作者： Phill Moore ，翻译： 王中杰 （最高人民检察院司法鉴定中心）

作者案 ：当孩子睡着后，我认为我应该花些时间在本周的Sunday Funday挑战上。我更应该去睡觉，但那是我未来的问题。

挑战内容：

Windows7和Windows10系统中，在2个NTFS卷之间进行复制粘贴操作，对“被复制的文件”和“粘贴操作中创建的新文件”的时间戳有什么影响？

我原本计划对Windows7和Windows10都进行测试，但在写下测试计划后，我认为对Win10(1803)进行一个全面的测试更好。

我下载了一个Windows 10虚拟机，然后创建了一个能够加载的VHD（创建时间为2018年11月2日10时16分 AEST）。每次进行测试后，都对虚拟机进行了备份，并导出$MFT。这个卷中有一个可执行文件，一个zip压缩包，一个文本文档和一个docx的Word文件。

变量

我使用了各种不同的方法进行复制和粘贴，但没有测试所有的排列组合。

1. 键盘复制粘贴 (ctrl c/v)

2. 鼠标右键复制粘贴

3. 通过功能区（Ribbon）进行复制粘贴

4. 通过功能区（Ribbon）的“复制到”进行复制（复制到有一些预设的位置，但我使用了我自己设置的）

5. 鼠标右键，发送到文档

6. 将文件拖拽到其他卷（这将进行复制）

7. 命令行复制粘贴

发现

下图是我测试各种“复制粘贴操作”后，文件时间变化的对比表。

表格内容很多，如果要下载细致浏览的话，建议到我的云盘中下载，云盘下载连接： https://pan.baidu.com/s/1QGjq5h3lIjeiVzTwbdmhCQ，提取密码： ep2f。

通过表格，可以看出我所使用的所有复制粘贴方法对时间戳的变化有着一样的效果。

复制的文件同原文件相比（ 重要结论 ）：

1. 创建时间（SI/FN）被更新为进行复制操作的时间

2. 修改时间（SI）不受影响

3. 修改时间（FN）被更新为进行复制操作的时间

4. Entry Modified时间（SI）原文件和复制的文件一致，但被更新了（我认为这是因为我重启了虚拟机造成的。但并不是所有的文件都发生了变化，比如zip和exe文件就没受影响）

5. Entry Modified时间（FN）被更新为进行复制操作的时间

6. 访问时间（SI），我认为我进行测试的方法搞砸了访问时间，但有趣的是每种方法对访问时间的影响并不相同。比如zip文件的访问时间中，原文件和复制的文件一致。

看起来重启计算机会对访问时间和Entry Modified时间造成一些影响，但这也有些有趣的地方：重启计算机可能会修改这些时间戳，但在进行复制粘贴操作时这些时间戳会不会被修改是基于文件类型的。