Como procurar em todo o disco rígido por arquivos modificados em uma data específica? [duplicado]

Question

Eu peguei um vírus há algumas horas e identifiquei um de seus arquivos. Eu sei o minuto exato em que o vírus foi instalado, e gostaria de procurar no meu disco rígido inteiro por arquivos modificados naquele minuto. Existe um utilitário que pode fazer isso? A pesquisa do Windows pesquisa somente documentos.

Estou usando o Windows 8.

    

Answer 1

Abra o File Explorer na área de trabalho. Navegue até a raiz do seu disco rígido (C: \ provavelmente). Toque / Clique no campo de pesquisa e digite da seguinte forma: System.DateModified:YYYY-MM-DDThh:mm:ss onde a data e a hora são aquelas que você sabe que o vírus apareceu e estão descritas na ISO-8601, mostradas aqui: link .

Os termos de pesquisa do Windows são chamados de "Sintaxe de consulta avançada" e contêm vários termos úteis, a maioria dos quais não são expostos aos usuários finais por meio da interface de usuário de pesquisa do Windows. Este é um exemplo, explicado neste documento da MSDN: link na seção "Propriedades de DateTime no Windows 8".

Note que você pode ter que expandir o índice para pesquisar a unidade inteira e também que o índice não irá procurar em determinados lugares ( C:\Windows\CSC\ para um exemplo).

    

Answer 2

Existem várias maneiras de fazer isso. Você poderia tentar um programa como

link

Eu não uso 8 ou mesmo 7. MAS eu usaria o CMD. Há algumas maneiras de fazê-lo, mas a maneira mais simples seria fazer o DIR toda a unidade com subpastas filtradas para o tempo criado e, em seguida, procurar uma string que corresponda ao formato de data e hora. Para colar em uma janela CMD, basta clicar com o botão direito e escolher colar. (mais uma vez nunca usou win8)

Não é complicado o código abaixo procurar no drive C: por um arquivo criado "01/19/2013 06:38 PM" a saída seria C: \ FoundFiles.TXT.

@dir c:\*.* /s /t:c | findstr "01/19/2013  06:38 PM">c:\FoundFiles.TXT 

O código abaixo irá procurar por arquivos ocultos e saída para c: \ FoundHiddenFiles.TXT

@dir c:\*.* /s /a:h /t:c | findstr "01/19/2013  06:38 PM">c:\FoundHiddenFiles.TXT

use / t: a para arquivos "last accessed" e / t: w para arquivos escritos por último

Para abrir o CMD no Windows 8, basta pesquisar aplicativos para o CMD. Você pode ter que ajustar a string para corresponder à sua saída DIR na janela 8. Também não tenho idéia se o windows 8 dá acesso ao C :. Cada pesquisa deve levar apenas um minuto e só lhe dará os nomes dos arquivos e não o local e cada vez que você executá-lo, ele eliminará o resultado da pesquisa antiga. o ". " deve ser opcional, basta colocá-los em caso de necessidade.

espero que ajude alguém.

Uma última coisa. Você poderia apenas dir todo o darn unidade de saída para um arquivo de texto, em seguida, pesquisar com palavra ou bloco de notas ou o que eles dão-lhe com o Windows 8. Os códigos abaixo irão mostrar todo o seu conteúdo de discos rígidos classificados para quando os arquivos foram criados.

dir c:\*.* /s /o:d /t:c >C:\AllFiles.TXT

E se você quiser procurar todos os arquivos ocultos use

dir c:\*.* /s /o:d /t:c /a:h >C:\AllHiddenFiles.TXT

    

Answer 3

Eu vim aqui em busca com o mesmo problema.

no Windows 8.1, a data no formato ISO 8601 (AAAA-MM-DDThh: mm: ss) não funcionou para mim se eu adicionasse Thh: mm: ss à data. Data sem hora estava ok. '2014- 1- 15'

Mas isso funcionou com o tempo: 15-14-14 16:24 Pode ser necessário usar seu formato regional, por exemplo, 15/01/14 4:24 pm ou universal: 2014- 1- 15 16:24

Em vez de pesquisar pela hora da modificação, sugiro que você procure por arquivos CRIADOS nessa data e hora. Como arquivos criaram / modificados / acessados datas: System.DateCreated:15-‎Jan-‎14 16:24

Ele também está funcionando sem "Sistema". para mim: DateCreated:‎15-‎Jan-‎14 16:24

Além disso, no nosso caso, é uma boa ideia tornar a sua pesquisa mais abrangente, como o período de 10 minutos:

DateCreated:‎15-‎Jan-‎14 16:24..15-Jan-14 16:34

ou com data no formato independente de idioma:

DateCreated:‎2014-‎1-‎15 16:24..2014-‎1-‎15 16:34

você está digitando essa string na janela do Gerenciador de Arquivos no diretório raiz da sua unidade principal (c :) para uma caixa de combinação Pesquisar neste PC à direita da caixa de texto de endereço.

Além disso, você precisa incluir Arquivos do sistema na pesquisa porque acho que a pasta AppData está fora do espaço indexado e não será pesquisada de outra forma. E é aí que os vírus gostam de residir. Para fazer isso, clique em Pesquisar no Menu e, em seguida, em Opções Avançadas e Arquivos do Sistema

No painel de resultados, você verá datas de modificação, algumas fora do intervalo especificado por você. Se você olhar a propriedade de cada arquivo, verá a data de criação no intervalo especificado. Eles foram modificados depois de serem criados

(Eu fiz uma foto, mas não posso postar)

    

Answer 4

Existe um comando DOS chamado "forfiles" que você pode usar

forfiles /P C:\ /S /D -1 /M *.*

você também pode usar sintaxe mais avançada, como chamar um programa (ou chamar um comando do DOS com cmd / c ...)

forfiles /P C:\ /S /D -1 /M *.* /C "cmd /c echo @fname @fdate"

veja forfiles /? para sintaxe e parâmetros como @fname, @fdate etc.

para abrir o prompt de comando, vá ao menu Iniciar / Pesquisar ... e digite CMD e pressione a tecla ENTER para abrir a janela do DOS

(PS eu não posso fazê-lo para trabalhar no meu sistema - parece retornar todos os arquivos, não só aqueles alterados um dia antes, como eu especifico com / D -1 - provavelmente porque ele tem bug com datas gregas sendo DD / MM / AAAA e não MM / DD / AAAA)

CORREÇÃO: parece haver um mal-entendido (por mim e por outros que também julgam a partir de uma pesquisa na net) sobre o que / D -dd faz, parece que ele não procura por arquivos com dd dias, mas ser mais velho que dd dias

então você precisa usar a sintaxe / D + dd / MM / yyyy de FORFILES e passar a data de ontem para encontrar todos os arquivos com data maior que ontem. Para automatizar isso você poderia usar% date% e analisá-lo com% date: ~ 7,2% /% date: ~ 4,2% /% date: ~ -4% ou algo parecido (pode ser necessário reordenar as partes da data lá, dependendo da sua localidade)