Да. Вы даже можете сделать это по локальной сети.
Транзакция CIFS - TRANS2_QFSINFO
это уровень информации SMB_QUERY_FS_VOLUME_INFO
. Родная функция API Windows NT для запроса времени создания тома ZwQueryVolumeInformationFile()
, которая выдает FILE_FS_VOLUME_INFORMATION
структуру данных (почти идентичную CIFS, заметьте), когда запрашивается FileFsVolumeInformation
класс информации. Проверка того, что этот запрос работает, является частью тестера IFS, который Microsoft предоставляет разработчикам драйверов.
Интересно, что никто, кажется, не написал удобную утилиту, которая просто запрашивает том и печатает его метку времени создания в удобочитаемой форме. 1 Насколько я могу судить, procmon
самое близкое, что вы можете получить, - запустить инструмент SysInternals и найти потоковые информационные запросы. Возможно, кто-то, читающий это, будет вдохновлен на создание расширенной vol
команды.
Да, метка времени создания тома будет инициализирован, и не просто установить на ноль или какой - либо другой постоянной. Я не проверял, но мое обоснованное предположение о месте хранения этой информации является $STANDARD_INFORMATION
атрибутом $Volume
записи MFT. Я могу подумать о трех других возможных местах, но это самое логичное.
1grawity
утилит «s просто нужно немного больше для ногтей, в том числе простых применений FileTimeToSystemTime()
и GetTimeFormat()
, чтобы сделать его пригодным для конечных пользователей , которые не могут декодировать Win32 проставлены в их головах. ☺