Bereich 05

Dateisystem & Zeitstempel

Dateisystem-Metadaten verraten, wann etwas geschah, sofern man sie zu lesen weiß. Dieser Bereich erklärt Inode-Zeitstempel und ihre Aktualisierungsregeln, die Erstellungszeit auf ext4 und XFS, das Erkennen von Timestomping und was sich nach dem Löschen wiederherstellen lässt.

ext4 crtime
debugfs
XFS v5

Leitfäden in diesem Bereich

Diese Leitfäden sind derzeit nur auf Englisch verfügbar. Die folgenden Links öffnen die englische Fassung.

05 · Dateisystem & ZeitstempelEnglisch

ext4 and XFS Timestamps, Inodes and Deleted Files

How to read MAC and birth timestamps on ext4 and XFS, spot timestomping through ctime, and understand the real limits of deleted file recovery on Linux.

ext4xfstimestamps

28. Sept. 2026

Artefakt-Spickzettel

Wo jedes Artefakt liegt, was es belegt, seine Zeitstempel und die Tools zur Auswertung.

ext4-Zeitstempel, crtime und gelöschte Dateienext4-Inode-Zeitstempel (atime, mtime, ctime, crtime, dtime) mit Nanosekunden, relatime, jbd2-Journal und die Grenzen der Wiederherstellung gelöschter Dateien.
XFS Forensics: Inode Timestamps, crtime and Deleted FilesXFS on RHEL-family Linux: v5 inode timestamps with crtime, bigtime, xfs_db inspection, the metadata log, and what remains after a file is deleted.
/tmp, /var/tmp and /dev/shm: Linux Staging DirectoriesWorld-writable Linux directories attackers use to stage tools: tmpfs versus disk, cleanup ages, noexec, memfd fileless execution and what survives reboot.
Linux Trash: freedesktop .trashinfo Files and Deleted ItemsThe freedesktop.org Trash on Linux desktops: .trashinfo records with original path and deletion time, the trashed files themselves and per-volume trash folders.
Linux Thumbnail Cache: ~/.cache/thumbnails ForensicsThe freedesktop thumbnail cache on Linux: PNG previews named by the MD5 of the file URI, holding path and mtime, that outlive deleted files.
SUID, SGID and File Capabilities: Linux Privilege BackdoorsSUID/SGID bits and file capabilities (security.capability) on Linux: how attackers plant root backdoors and how to baseline them against packages.

Alle Bereiche