Wir haben einen Client, bei dem es sehr nützlich wäre festzustellen, WANN ein Laufwerk initialisiert oder eine NTFS-Partition erstellt wurde. Gibt es irgendwo einen Zeitstempelwert? Wenn jemand einen Rat abgeben könnte, wäre er sehr dankbar.
Vielen Dank!
-Slashp
partitioning
ntfs
date
timestamp
Schrägstrich
quelle
quelle
Antworten:
Ja. Sie können dies sogar über ein LAN tun.
Die CIFS-Transaktion ist
TRANS2_QFSINFO
und die Informationsebene istSMB_QUERY_FS_VOLUME_INFO
. Die systemeigene Windows NT-API-Funktion zum Abfragen der Erstellungszeit eines Volumes lautetZwQueryVolumeInformationFile()
: aFILE_FS_VOLUME_INFORMATION
Datenstruktur (fast identisch mit der CIFS-Datenstruktur, Anmerkung), wenn Sie nachFileFsVolumeInformation
der Informationsklasse gefragt werden . Das Testen, ob diese Abfrage funktioniert, ist Teil des IFS-Testers, den Microsoft für Treiberentwickler bereitstellt.Interessanterweise scheint niemand ein praktisches Dienstprogramm geschrieben zu haben, das nur ein Volume abfragt und dessen Erstellungszeitstempel in lesbarer Form druckt. 1 Der nächste Schritt, den Sie nach meinem besten Wissen unternehmen werden, besteht darin, das SysInternals-
procmon
Tool aufzurufen und nach den Volume-Informationsabfragen zu suchen, von denen Sie Daten streamen. Vielleicht wird jemand, der dies liest, dazu inspiriert, einen erweitertenvol
Befehl zu erstellen .Ja, der Zeitstempel für die Volume-Erstellung ist ordnungsgemäß initialisiert und wird nicht nur auf Null oder eine andere Konstante gesetzt. Ich habe nicht geprüft, aber meine Vermutung, wo diese Informationen gespeichert werden, ist das
$STANDARD_INFORMATION
Attribut von$Volume
MFT-Eintrags. Ich kann mir drei andere mögliche Orte vorstellen, aber das ist der logischste.grawity
Das Dienstprogramm von 1 benötigt nur ein wenig mehr Polnisch, einschließlich der einfachen Verwendung vonFileTimeToSystemTime()
undGetTimeFormat()
, um es für Endbenutzer nutzbar zu machen, die keine Win32-Zeitstempel in ihren Köpfen dekodieren können. ☺quelle
Es gibt kein "Volume-Erstellungsdatum", von dem ich weiß, dass es in NTFS integriert ist. Sie sollten jedoch in der Lage sein, das Erstellungsdatum ziemlich genau zu bestimmen, indem Sie das Erstellungsdatum des
System Volume Information
Verzeichnisses im Stammverzeichnis des Volumes betrachten.quelle
Dies ist irgendwo ausgesetzt. Wenn Sie eine Windows XP-CD starten und auf die Wiederherstellungskonsole zugreifen, druckt die dortige Version von chkdsk das Erstellungsdatum des Volumes aus, nachdem die Ausführung abgeschlossen ist.
quelle