在 Linux 中显示文件创建时间的 DEBUGFS 命令

发表 admin at 2025年2月28日

类别

未分类

标签

DEBUGFS 命令是 Linux 中一个功能强大的实用程序，可授予对块设备文件系统的访问权限。其显着功能之一是能够显示文件的创建时间，而通过典型的 Linux 命令无法轻松获得该时间。这条信息存储在称为索引节点的数据结构中，其中包含有关文件的各种详细信息，包括其创建时间。

要获取数据，请使用 DEBUGFS 命令访问文件的索引节点并提供文件系统的全面视图。该命令有助于识别文件的索引节点号，随后可以利用该索引号来公开文件的创建时间。了解文件的创建时间对于取证调查或尝试解决系统问题非常有价值。

本质上，DEBUGFS 命令提供了一种检查和调整块设备的文件系统的方法，提供对通常无法通过标准 Linux 命令访问的文件的详细了解。通过访问文件的索引节点，DEBUGFS 命令使用户能够检索文件的创建时间，这在各种情况下都具有优势，例如取证调查或系统故障排除。

第 1 步− 在 Linux 中查找文件创建日期

要在基于 Linux 的操作系统上查找文件的创建日期和时间（包括 crtime），我们可以使用“stat”命令。为了实现这一点，我们必须首先通过对我们感兴趣的文件执行“stat”命令来定位文件的索引节点，让我们举个例子，文件名为“example.txt”。

该命令将显示有关该文件的详细信息。我们可以在下一步中看到如何找到 inode 编号，它用于获取您提到的特定文件的 crtime。这是一个用于查找文件创建日期和时间的输入命令−

stat -c %w example.txt

命令“stat -c %w example.txt”以 YYYY-MM-DD HH:MM:SS 格式显示该文件的创建时间。这是一个示例输出 -

2022-10-21 15:42:57

此输出显示文件名“example.txt”是于 2022 年 10 月 21 日 15:42:57 创建的。但是，根据系统设置和区域设置，输出的格式可能会有所不同。通过执行该命令我们可以获取Linux系统中任何文件的日期和时间。

第2步 - 查找文件的索引节点号

要访问基于 Unix 的操作系统上的文件，我们需要它的索引节点号 - 每个文件和目录的唯一标识符。我们可以在终端中使用“ls -i”命令找到索引节点号，该命令列出当前目录中的文件及其索引节点号。或者，我们可以使用“stat”命令来检索有关文件的详细信息，并包括其索引节点号。一旦我们有了索引节点号，我们就可以使用它对文件执行各种操作，例如复制、移动或访问其内容。

要查找任何文件的索引节点号，您需要访问存储该文件的目录。

执行以下命令 -

ls -i <file_name>

要查找文件的 inode 号，例如，如果要查找当前目录中名为“example.txt”的文件的 inode 号，您可以输入“ls -i example.txt”。输出将显示您要检查的第一个索引节点号以及其名称和其他信息。

ls -i example.txt

这会将文件的索引节点号显示为输出中的第一项，如下面的输出所示。

1234567 example.txt

在此输出中，您可以看到文件名和索引节点号“example.txt”为 1234567。

第 3 步− 使用 DEBUGFS 命令显示文件创建时间

要在 Linux 中显示文件创建时间，步骤 2 涉及使用 DEBUGFS 命令，该命令提供用于与文件系统交互的命令行界面。首先，我们需要使用“df”命令找到该文件所在的文件系统。然后，我们可以使用带有“-R”标志的“debugfs”命令，后跟文件系统设备的路径来指定要运行的命令。 “stat ”命令将显示文件属性，包括 Unix 时间戳格式的创建时间。我们可以使用带有“-d”标志的“date”命令将 Unix 时间戳转换为人类可读的格式，后跟 Unix 时间戳。

“debugfs”命令的语法 -

sudo debugfs -R 'stat <inode_number>' /dev/<block_device>

将替换为要检查的文件的实际 inode 编号，将替换为包含要检查的文件系统的实际块设备。要查找块设备，您可以使用 df 命令，该命令显示有关已挂载文件系统的信息。

例如，要显示块设备 /dev/sda1 上文件“example.txt”（inode 编号为 1234567）的创建时间，您可以运行以下命令 −

sudo debugfs -R 'stat <1234567>' /dev/sda1

这将显示有关该文件的详细信息，包括其创建时间。创建时间列为“crtime”。

这是一个示例输出 -

debugfs 1.42.9 (28-Dec-2013)
Inode: 1234567   Type: regular    Mode:  0644   Flags: 0x0   Generation: 123456789
User:     0   Group:     0   Size: 0
File ACL: 0    Directory ACL: 0
Links: 1   Blockcount: 0
Fragment:  Address: 0    Number: 0    Size: 0
ctime: 0x5d4090bb -- Wed Jul 31 14:28:27 2019
atime: 0x5d4090bb -- Wed Jul 31 14:28:27 2019
mtime: 0x5d4090bb -- Wed Jul 31 14:28:27 2019
crtime: 0x5d4090bb -- Wed Jul 31 14:28:27 2019
Size of extra inode fields: 28

结论

综上所述，DEBUGFS命令是Linux中用于访问和显示文件系统信息（包括文件创建时间）的强大工具。了解如何使用此命令使用户能够识别文件系统、显示文件属性以及将 Unix 时间戳转换为人类可读的格式。查看文件创建时间对于取证调查、故障排除和审核非常有用，可提供有关文件历史记录和期限的重要信息。掌握 DEBUGFS 命令对于系统管理员、开发人员和任何使用文件系统的人来说都是一项宝贵的技能，可以更好地控制和深入了解 Linux 文件系统，从而优化工作流程并提高生产力。