Bei der Verwendung von UNIX-Betriebssystemen, wie im Fall von Linux, wird jede Komponente in sich selbst als Datei und jede „Datei“ katalogisiert und jedes Mal, wenn wir eine Änderung an diesem Element vornehmen, werden all diese Änderungen in einem Inode gehostet und Linux kümmert sich darum um jede Datei anhand ihrer jeweiligen Inode-Nummer zu identifizieren, die nicht der menschliche Dateiname ist, mit dem sie erstellt wurde.
In Linux-Umgebungen haben wir den Befehl "stat" (Statistik), der, wie der Name schon sagt, dafür verantwortlich ist, den Status des Dateisystems anzuzeigen und nützliche Informationen zu generieren wie:
- Datum der Dateierstellung
- Inode-Nummer
- Letzte Änderungen an der Datei
- Letzte Zustandsänderung
- Letzter Zugriff und weitere relevante Informationen.
Unter Linux haben wir Parameter wie:
ctimeZeigt die Dateiwechselzeit an.
eine ZeitErzeugt die Zugriffszeit auf die Datei.
mtimeZeigt die Änderungszeit der Datei an.
crtimeZeigt die Zeit an, zu der die Datei erstellt wurde.
1. Ermitteln des Erstellungsdatums einer Datei unter Linux
Schritt 1
Um Details einer Datei zu finden, insbesondere das Datum und die Uhrzeit ihrer Erstellung, können wir crtime verwenden, das dafür zuständig ist, den Inode der Datei mit dem Befehl stat zu finden. Dazu führen wir die folgende Syntax aus:
stat "Datei"
Schritt 2
Dazu müssen wir in das Verzeichnis gehen, in dem sich die zu analysierende Datei befindet, und wie wir sehen, sind die angezeigten Informationen vollständig mit Details wie:
- Letztes Datum des Zugriffs und der Änderung
- Links
- Größe
- Knotennummer und mehr.
Schritt 3
Alternativ können wir den ls-Befehl wie folgt verwenden. In diesem Fall wird der Inode dieser Datei angezeigt. Es ist notwendig, die dieser Datei zugeordnete Inode-Nummer zu berücksichtigen.
ls -i "Datei"
2. Kennen Sie das Root-System in Linux
Schritt 1
Der nächste Schritt besteht darin, das Root-Dateisystem zu erkennen, in dem sich die analysierte Datei befindet. Dazu führen wir den Befehl df -h aus, um das Root-Dateisystem wie folgt zu identifizieren:
df -h
Schritt 2
In diesem Fall können wir sehen, dass das Root-System "/dev/sda1" ist. Mit diesen Informationen verwenden wir nun den Befehl "debugfs", um die Dateierstellungszeit zu ermitteln, indem wir den Parameter "-R" hinzufügen, der debugfs anweist, einen einzelnen externen Befehl auszuführen, der mit der zu verwendenden Inode-Nummer der Datei verknüpft ist Wir werden die folgende Syntax ausführen:
sudo debugfs -R 'stat' / dev / sda1
Schritt 3
Als Ergebnis können wir viel vollständigere Details über die ausgewählte Datei sehen, mit Details wie:
- Inode-Nummer
- Modus
- Zugehöriger Benutzer und Gruppe
- Größe
- Details zu ctime, atime, mtime und crtime
- Prüfsumme und mehr.
Mit diesem Tool können wir viel detailliertere Informationen zu jeder zu analysierenden Datei erhalten.
