ひよこメモ

自分が調べたこととか試したこととか書いていきます

Volume Folder Moveですべての時間が更新された件

Windows_Timestamp Windows Forensics

はじめに

こんにちは、iria_piyo🐣です。
今回は、moveコマンドを使用してボリューム間移動をおこなったときのタイムスタンプの更新についてメモします！

今回は空のフォルダで検証を行いました。
使用したツールはThe Sleuth Kitです。

環境

Windows10 バージョン1809

エクスプローラー上でカット&ペーストした場合

移動させるフォルダ「Chick_Explorer」のタイムスタンプ

mkdirコマンドでフォルダを作成し、istatコマンドでタイムスタンプを確認します。

PS C:\> istat \\.\C: 296679-144-1
MFT Entry Header Values:
Entry: 296679        Sequence: 41
$LogFile Sequence Number: 120999052358
Allocated Directory
Links: 2

$STANDARD_INFORMATION Attribute Values:
Flags:
Owner ID: 0
Security ID: 3374  (S-1-5-32-544)
Last User Journal Update Sequence Number: 853949552
Created:        2019-05-10 11:09:47.743675400 (
File Modified:   2019-05-10 11:09:47.743675400 (
MFT Modified:   2019-05-10 11:09:47.743675400 (
Accessed:        2019-05-10 11:09:47.743675400 (

$FILE_NAME Attribute Values:
Flags: Directory
Name: CHICK_~1
Parent MFT Entry: 5     Sequence: 5
Allocated Size: 0       Actual Size: 0
Created:        2019-05-10 11:09:47.743675400 (
File Modified:   2019-05-10 11:09:47.743675400 (
MFT Modified:   2019-05-10 11:09:47.743675400 (
Accessed:        2019-05-10 11:09:47.743675400 (

$FILE_NAME Attribute Values:
Flags: Directory
Name: Chick_Explorer
Parent MFT Entry: 5     Sequence: 5
Allocated Size: 0       Actual Size: 0
Created:        2019-05-10 11:09:47.743675400 (
File Modified:   2019-05-10 11:09:47.743675400 (
MFT Modified:   2019-05-10 11:09:47.743675400 (
Accessed:        2019-05-10 11:09:47.743675400 (

Attributes:
Type: $STANDARD_INFORMATION (16-0)   Name: N/A   Resident   size: 72
Type: $FILE_NAME (48-3)   Name: N/A   Resident   size: 82
Type: $FILE_NAME (48-2)   Name: N/A   Resident   size: 94
Type: $INDEX_ROOT (144-1)   Name: $I30   Resident   size: 48

カット&ペーストでフォルダを別ボリュームに移動させます。

移動後のフォルダ「Chick_Explorer」のタイムスタンプ

PS C:\> istat \\.\E: 295-144-1
MFT Entry Header Values:
Entry: 295        Sequence: 5
$LogFile Sequence Number: 505760357
Allocated Directory
Links: 1

$STANDARD_INFORMATION Attribute Values:
Flags:
Owner ID: 0
Security ID: 266  (S-1-5-21-3763767945-1047358448-4033639875-8282)
Last User Journal Update Sequence Number: 3225720
Created:        2019-05-10 11:09:47.743675400 (
File Modified:   2019-05-10 11:09:47.743675400 (
MFT Modified:   2019-05-10 11:18:28.381584000 (
Accessed:        2019-05-10 11:18:27.683571300 (

$FILE_NAME Attribute Values:
Flags: Directory
Name: Chick_Explorer
Parent MFT Entry: 5     Sequence: 5
Allocated Size: 0       Actual Size: 0
Created:        2019-05-10 11:18:27.683571300 (
File Modified:   2019-05-10 11:18:27.683571300 (
MFT Modified:   2019-05-10 11:18:27.683571300 (
Accessed:        2019-05-10 11:18:27.683571300 (

$OBJECT_ID Attribute Values:
Object Id: c4ed3d00-72b6-11e9-858a-a81374942b83

Attributes:
Type: $STANDARD_INFORMATION (16-0)   Name: N/A   Resident   size: 72
Type: $FILE_NAME (48-2)   Name: N/A   Resident   size: 94
Type: $OBJECT_ID (64-3)   Name: N/A   Resident   size: 16
Type: $INDEX_ROOT (144-1)   Name: $I30   Resident   size: 48

$SIのCreatedとFile Modified以外が更新されました。

moveコマンドで移動させた場合

移動させるフォルダ「Chick_CUI」のタイムスタンプ

mkdirコマンドでフォルダを作成し、istatコマンドでタイムスタンプを確認します。

PS C:\> istat \\.\C: 20238-144-1
MFT Entry Header Values:
Entry: 20238        Sequence: 57
$LogFile Sequence Number: 120999066948
Allocated Directory
Links: 2

$STANDARD_INFORMATION Attribute Values:
Flags:
Owner ID: 0
Security ID: 3374  (S-1-5-32-544)
Last User Journal Update Sequence Number: 853955200
Created:        2019-05-10 11:10:01.051552400 (
File Modified:   2019-05-10 11:10:01.051552400 (
MFT Modified:   2019-05-10 11:10:01.051552400 (
Accessed:        2019-05-10 11:10:01.051552400 (

$FILE_NAME Attribute Values:
Flags: Directory
Name: CHICK_~2
Parent MFT Entry: 5     Sequence: 5
Allocated Size: 0       Actual Size: 0
Created:        2019-05-10 11:10:01.051552400 (
File Modified:   2019-05-10 11:10:01.051552400 (
MFT Modified:   2019-05-10 11:10:01.051552400 (
Accessed:        2019-05-10 11:10:01.051552400 (

$FILE_NAME Attribute Values:
Flags: Directory
Name: Chick_CUI
Parent MFT Entry: 5     Sequence: 5
Allocated Size: 0       Actual Size: 0
Created:        2019-05-10 11:10:01.051552400 (
File Modified:   2019-05-10 11:10:01.051552400 (
MFT Modified:   2019-05-10 11:10:01.051552400 (
Accessed:        2019-05-10 11:10:01.051552400 (

Attributes:
Type: $STANDARD_INFORMATION (16-0)   Name: N/A   Resident   size: 72
Type: $FILE_NAME (48-3)   Name: N/A   Resident   size: 82
Type: $FILE_NAME (48-2)   Name: N/A   Resident   size: 84
Type: $INDEX_ROOT (144-1)   Name: $I30   Resident   size: 48

moveコマンドでフォルダを別ボリュームに移動させます。

PS C:\> move C:\Chick_CUI\ E:\

移動後のフォルダ「Chick_CUI」のタイムスタンプ

PS C:\> istat \\.\E: 282-144-1
MFT Entry Header Values:
Entry: 282        Sequence: 8
$LogFile Sequence Number: 505758862
Allocated Directory
Links: 1

$STANDARD_INFORMATION Attribute Values:
Flags:
Owner ID: 0
Security ID: 270  (S-1-5-32-544)
Last User Journal Update Sequence Number: 3225200
Created:        2019-05-10 11:15:48.410211300 (
File Modified:   2019-05-10 11:15:48.410211300 (
MFT Modified:   2019-05-10 11:15:48.410211300 (
Accessed:        2019-05-10 11:15:48.410211300 (

$FILE_NAME Attribute Values:
Flags: Directory
Name: Chick_CUI
Parent MFT Entry: 5     Sequence: 5
Allocated Size: 0       Actual Size: 0
Created:        2019-05-10 11:15:48.410211300 (
File Modified:   2019-05-10 11:15:48.410211300 (
MFT Modified:   2019-05-10 11:15:48.410211300 (
Accessed:        2019-05-10 11:15:48.410211300 (

Attributes:
Type: $STANDARD_INFORMATION (16-0)   Name: N/A   Resident   size: 72
Type: $FILE_NAME (48-2)   Name: N/A   Resident   size: 84
Type: $INDEX_ROOT (144-1)   Name: $I30   Resident   size: 48

結果

moveコマンドを使用して、フォルダのボリューム間移動をおこなったら、すべてのタイムスタンプが更新されました！

感想

フォルダ作成したかのようなタイムスタンプで驚きました。

注意

この記事の内容は、moveコマンドを使用した場合の結果です。 コマンド、環境などによっては異なる結果になる可能性があります。