Área 05

Sistema de archivos y marcas de tiempo

Los metadatos del sistema de archivos dicen cuándo ocurrió cada cosa, si se saben leer. Esta área explica las marcas de tiempo de los inodos y sus reglas de actualización, cómo obtener la fecha de creación en ext4 y XFS, cómo detectar timestomping y qué se puede recuperar tras un borrado.

ext4 crtime
debugfs
XFS v5

Guías de esta área

Por ahora estas guías solo están publicadas en inglés. Los enlaces siguientes abren la versión en inglés.

05 · Sistema de archivos y marcas de tiempoInglés

ext4 and XFS Timestamps, Inodes and Deleted Files

How to read MAC and birth timestamps on ext4 and XFS, spot timestomping through ctime, and understand the real limits of deleted file recovery on Linux.

ext4xfstimestamps

28 sept 2026

Fichas de artefactos

Dónde vive cada artefacto, qué demuestra, sus marcas de tiempo y las herramientas para analizarlo.

Marcas de tiempo de ext4, crtime y archivos borradosMarcas de tiempo de los inodos ext4 (atime, mtime, ctime, crtime, dtime) con nanosegundos, relatime, el journal jbd2 y qué se puede recuperar de lo borrado.
XFS Forensics: Inode Timestamps, crtime and Deleted FilesXFS on RHEL-family Linux: v5 inode timestamps with crtime, bigtime, xfs_db inspection, the metadata log, and what remains after a file is deleted.
/tmp, /var/tmp and /dev/shm: Linux Staging DirectoriesWorld-writable Linux directories attackers use to stage tools: tmpfs versus disk, cleanup ages, noexec, memfd fileless execution and what survives reboot.
Linux Trash: freedesktop .trashinfo Files and Deleted ItemsThe freedesktop.org Trash on Linux desktops: .trashinfo records with original path and deletion time, the trashed files themselves and per-volume trash folders.
Linux Thumbnail Cache: ~/.cache/thumbnails ForensicsThe freedesktop thumbnail cache on Linux: PNG previews named by the MD5 of the file URI, holding path and mtime, that outlive deleted files.
SUID, SGID and File Capabilities: Linux Privilege BackdoorsSUID/SGID bits and file capabilities (security.capability) on Linux: how attackers plant root backdoors and how to baseline them against packages.

Todas las áreas