电子取证之USN实操

USN Journal ( Update Sequence Number Journal ) ，也称作 Change Journal，用来记录 NTFS volume 中文件修改的信息，能够提高搜索文件的效率。

每个 NTFS volume 对应一个 USN Journal，存储在 NTFS metafile 的 $Extend$UsnJrnl 中，也就是说，不同的 NTFS volume 对应的 USN Journal 不同。

USN Journal 会记录文件和目录的创建、删除、修改、重命名和加解密操作。

X-Ways可解析$Extend:$UsnJrnl:$J，在磁盘快照中，选择解析文件元数据，包含有对$UsnJrnl:$J解析、预览功能。Winhex下能找到，无法预览，X-Ways可以直接预览。

实操：

1. D盘新建名为usntest的文件夹

2. 进入该文件夹，新建word文档，重命名为1.doc，打开该word文档，输入“USN测试”

3. 新建txt文档，重名为2.txt，打开该txt文档，输入“USN测试”

4. 新建xls表格，重名为3.xls,打开该xls文档，输入“USN测试”

5. 删除2.txt和3.xls

6. 删除usntest目录

7. 打开x-ways，添加存储设备-选择D盘，将D盘加载

   

8. 依次打开$Extend:$UsnJrnl:$J，点击$J文件，选择预览标签，可以预览$J文件，里面包含了刚才的文件操作过程