windows server 查看 删除事件_渗透技巧——Windows下NTFS文件的USN Journal

0x00 前言

在上篇文章《渗透技巧——Windows下NTFS文件的时间属性》介绍了修改NTFS文件时间属性的方法和细节，以及取证上的建议。 本文将要继续研究NTFS文件另一处记录文件修改时间的位置——USN Journal，同样是分析利用思路，给出取证上的建议。

0x01 简介

本文将要介绍以下内容：

· 基本概念

· 读取USN Journal的方法

· 利用思路

· 取证建议

0x02 USN Journal的基本概念

官方文档：https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-2000-server/bb742450(v=technet.10)

USN Journal (Update Sequence Number Journal)，也称作Change Journal，用来记录NTFS volume中文件修改的信息，能够提高搜索文件的效率。

每个NTFS volume对应一个USN Journal，存储在NTFS metafile的$Extend\$UsnJrnl中，