BAMBOO FOREST PEN TEST REPORT – TIME ZONE

 

Time Zone

 

內容

Time Zone. 1

1      摘要... 2

2      目的和範圍... 2

3      測試方法和流程... 4

4      發現的鑑識結果和風險評估... 5

5      鑑識建議和策略... 6

6      結論... 6

7      附件和參考資料... 6

 

 

 

1  摘要

本次滲透測試的標的─「Time Zone」是新心資安自己的辦公用電腦做數位鑑識的結果。起因是筆者在看CHFI暗網鑑識的Tor洋蔥瀏覽器鑑識時提到，如果犯罪嫌疑人已經移除Tor，則需要從prefetch檔進行鑑識，於是我開始研究prefetch檔。本次鑑識的標的是我工作時用的電腦，在研究prefetch檔時發現adobe pdf reader連續二天在半夜三點有開始的紀錄，但是平常我作息是早上9點開電腦，晚上10點關電腦。

因此我一直鍥而不捨的追踨的結果，發現是解析prefetch的應用程式，時區是+00：00，而台北的時區是+08：00，所以系統顯示的早上3點要加8個小時，變成上午11點。而我還不滿意，進一步的追，才得到滿意結果。

。

2  目的和範圍

本次數位鑑識的目的，在於重點說明本公司的數位鑑識服務，透過完整的報告格式來呈現，使本公司的潛在客戶可以對齊自己的需求，未來可以做為委託本公司進行數位鑑識的基準。

筆記標題	從adobe pdf reader執行時間為凌晨3點看鑑識工具的交叉驗證
知識描述	Windows11已經拿掉程式執行的時間線功能，但是對於各項程式的執行，透過鑑識工具就可以一窺全貌。讀者或許有一個疑問，為什麼要以自己工作的電腦來練習鑑識，因為開關機、工作的時間很好掌握，並且可以看出很多細節。
原理思考	鑑識工具都使用UTC+0：00中央協調時間，以便全球的鑑識人員能以一致的證據解讀相溝通。
聯想思考	如果不是出現半夜3點有PDF讀取的紀錄，我也不會對鑑識工具時區加以懷疑，後來配合各種工具交相比對，才得以安心。
應用思考	除了這次write up所揭露的adobe pdf以外，還有很多應用程式，之後在到客戶端做鑑識和證據保存時，也都需要注意。
經驗聯想	執行的程式，會有各種行為，尤其是執行檔案、傳輸資料，這也是後續我們應該要加以注意補強的。
指導行動	以後如果應用AI來分析具時間戳的檔案，一定要讓AI記得轉為GMT+8：00台北時間再報告結果。
工具衍生	工具下載網址：https://ericzimmerman.github.io/ 請先下載放在D：\或C:\ PECmd.exe (Prefetch Explorer Command Line) 是 Eric Zimmerman 開發的 Windows Prefetch（預取檔案，.pf）高效數位鑑識解析工具。 LECmd.exe (Lnk Explorer Command Line) 是由知名數位鑑識專家 Eric Zimmerman 開發的 Windows 快捷鍵（.lnk）檔案解析工具。 事件檢視器（windows內建）

3  測試方法和流程

測試方法：

一、   鑑識工具：LECmd.exe、PECmd.exe、事件檢視器

二、   規範：ISO/IEC 27037 國際標準這是全球數位鑑識最核心的指導框架，專門規範「數位證據的識別、收集、獲取與保存」。

I.   識別（Identification）：識別出哪些實體或虛擬媒介包含潛在證據。

II. 收集（Collection）：將可能包含證據的實體設備（如硬碟、手機）妥善移走並封存。

III.     獲取（Acquisition）：在不改變原始資料的前提下，進行映像檔（Imaging）製作。

IV. 保存（Preservation）：透過雜湊值（Hash Value, 如 MD5/SHA-256）確保證據在整個生命週期中未被篡改。。

三、   檢查項目：

I.   Prefetch檔資料─adobe pdf reader，分析該程式最新的執行時間紀錄

II. Windows 快捷鍵資料，分析特定時間開啟的檔案

III.     從windows 事件檢視器查詢安全性紀錄

IV. 對前開三個檔案做MD5雜湊值完整性紀錄

時程表：

一、   取證時間：2026/7/18 09：00-18：00

二、   報告撰寫時間：2026/7/25-2026/8/1 09:00-18：00

4  發現的鑑識結果和風險評估

一、 鑑識結果名稱和描述：adobe開始執行時間經時間調整後為上午10：00連續二天，和辦公室作息結果相符

二、 鑑識種類：程式執行

三、 影響的系統或元件：影響Linux、Windows跨平台作業系統

四、 測試過程中的過程：

1.   洞察本質：雖然不方便，但是鑑識工具讀取windows底層資料時，預設是以GMT+0:00

2.   質疑假設：AI原先誤判，認為是GMT+8:00(台北時區)，於是回報凌晨3點連續二天有開啟adobe pdf reader紀錄。

五、 潛在的風險和影響：

由於辦公室電腦晚上不用時電源會拔掉，不可能網路開機，出現3點時的存取紀錄，開始我還以為自己失眠時起來用電腦。後來一看，有一天是考高考三級後的隔天，那時很累應該不可能凌晨起來使用。所以就一直和AI對話，從各種可能性排查。

5  鑑識建議和策略

一、 AI同儕審查：本來Google的AI模型Gemini說鑑識工具會是使用當地時區，例如GMT+8：00台北時區。經過向Open AI的ChatGPT查證後確認鑑識工具使用的是GMT+8：00格林威治時間。

二、 交叉驗證：在Windows平台要證實一件事，可以查閱多個不同的資料來交相驗證。比方從事件檢視器、檔案總管、系統資料。

6  結論

總結本次數位鑑識的過程和結果，最重要的發現和建議的二點，第一點是AI模型有其侷限，可能會出錯。

第二點是對於鑑識結果必須要時刻小心，不輕下結論。

。

7  附件和參考資料

Step1. 關鍵的prefetch檔案執行結果如附

1.     D:\>pecmd -f C:\Windows\Prefetch\ACROBAT.EXE-4E1700B6.pf

2.     PECmd version 2026.5.0

3.      

4.     Author: Eric Zimmerman (saericzimmerman@gmail.com)

5.     https://github.com/EricZimmerman/PECmd

6.      

7.     Command line: -f C:\Windows\Prefetch\ACROBAT.EXE-4E1700B6.pf

8.      

9.     Warning: Administrator privileges not found!

10.   

11.  Keywords: temp, tmp

12.   

13.  Processing C:\Windows\Prefetch\ACROBAT.EXE-4E1700B6.pf

14.   

15.  Created on: 2024-08-12 13:31:43

16.  Modified on: 2026-07-09 09:35:57

17.  Last accessed on: 2026-07-10 09:56:41

18.   

19.  Executable name: ACROBAT.EXE

20.  Hash: 4E1700B6

21.  File size (bytes): 184,868

22.  Version: Windows 10 or Windows 11

23.   

24.  Run count: 1,501

25.  Last run: 2026-07-09 09:35:46

26.  Other run times: 2026-07-09 09:32:09, 2026-07-09 09:19:49, 2026-07-09 08:52:28, 2026-07-08 09:48:07, 2026-07-08 07:51:50, 2026-07-08 03:03:32, 2026-07-07 03:41:53

27.   

28.  Volume information:

29.   

30.  #0: Name: \VOLUME{01d6278415e81c2f-b6163964} Serial: B6163964 Created: 2020-05-11 11:05:31 Directories: 19 File references: 98

31.   

32.  Directories referenced: 19

33.   

34.  00: \VOLUME{01d6278415e81c2f-b6163964}\PROGRAM FILES

35.  01: \VOLUME{01d6278415e81c2f-b6163964}\PROGRAM FILES\ADOBE

36.  02: \VOLUME{01d6278415e81c2f-b6163964}\PROGRAM FILES\ADOBE\ACROBAT DC

37.  03: \VOLUME{01d6278415e81c2f-b6163964}\PROGRAM FILES\ADOBE\ACROBAT DC\ACROBAT

38.  04: \VOLUME{01d6278415e81c2f-b6163964}\PROGRAM FILES\WINDOWSAPPS

39.  05: \VOLUME{01d6278415e81c2f-b6163964}\PROGRAM FILES\WINDOWSAPPS\MICROSOFT.LANGUAGEEXPERIENCEPACKZH-TW_22621.157.463.0_NEUTRAL__8WEKYB3D8BBWE

40.  06: \VOLUME{01d6278415e81c2f-b6163964}\PROGRAM FILES\WINDOWSAPPS\MICROSOFT.LANGUAGEEXPERIENCEPACKZH-TW_22621.157.463.0_NEUTRAL__8WEKYB3D8BBWE\WINDOWS

41.  07: \VOLUME{01d6278415e81c2f-b6163964}\PROGRAM FILES\WINDOWSAPPS\MICROSOFT.LANGUAGEEXPERIENCEPACKZH-TW_22621.157.463.0_NEUTRAL__8WEKYB3D8BBWE\WINDOWS\SYSTEM32

42.  08: \VOLUME{01d6278415e81c2f-b6163964}\PROGRAM FILES\WINDOWSAPPS\MICROSOFT.LANGUAGEEXPERIENCEPACKZH-TW_22621.157.463.0_NEUTRAL__8WEKYB3D8BBWE\WINDOWS\SYSTEM32\ZH-TW

43.  09: \VOLUME{01d6278415e81c2f-b6163964}\PROGRAM FILES\WINDOWSAPPS\MICROSOFT.LANGUAGEEXPERIENCEPACKZH-TW_22621.157.463.0_NEUTRAL__8WEKYB3D8BBWE\WINDOWS\SYSTEM32\ZH-TW\916E0675EF87C1663D33CB3C1E5E5FB4

44.  10: \VOLUME{01d6278415e81c2f-b6163964}\PROGRAMDATA

45.  11: \VOLUME{01d6278415e81c2f-b6163964}\PROGRAMDATA\MICROSOFT

46.  12: \VOLUME{01d6278415e81c2f-b6163964}\PROGRAMDATA\MICROSOFT\WINDOWS

47.  13: \VOLUME{01d6278415e81c2f-b6163964}\PROGRAMDATA\MICROSOFT\WINDOWS\CACHES

48.  14: \VOLUME{01d6278415e81c2f-b6163964}\WINDOWS

49.  15: \VOLUME{01d6278415e81c2f-b6163964}\WINDOWS\GLOBALIZATION

50.  16: \VOLUME{01d6278415e81c2f-b6163964}\WINDOWS\GLOBALIZATION\SORTING

51.  17: \VOLUME{01d6278415e81c2f-b6163964}\WINDOWS\SYSTEM32

52.  18: \VOLUME{01d6278415e81c2f-b6163964}\WINDOWS\WINSXS\AMD64_MICROSOFT.WINDOWS.COMMON-CONTROLS_6595B64144CCF1DF_6.0.22621.6060_NONE_2712EDA17382D24B

53.   

54.  Files referenced: 124

Step2. LECmd.exe針對lnk捷徑鑑識的結果

1.        --------- Block 0 (Beef0004) ---------

2.         Long name: 看見保險經紀人公司

3.         Created:     2022-12-09 11:42:20

4.         Last access: 2023-01-16 10:46:34

5.         MFT entry/sequence #: 16943/30 (0x422F/0x1E)

6.      

7.       -Directory ==> 董監事責任保險

8.         Short name: 董監事責任保險

9.         Modified:    2023-01-03 10:59:14

10.      Extension block count: 1

11.   

12.      --------- Block 0 (Beef0004) ---------

13.      Long name: 董監事責任保險

14.      Created:     2022-12-14 10:06:22

15.      Last access: 2023-01-16 10:46:34

16.      MFT entry/sequence #: 16984/4 (0x4258/0x4)

17.   

18.    -Directory ==> 華南產物

19.      Short name: 華南產物

20.      Modified:    2022-12-21 12:40:10

21.      Extension block count: 1

22.   

23.      --------- Block 0 (Beef0004) ---------

24.      Long name: 華南產物

25.      Created:     2022-12-21 12:19:42

26.      Last access: 2023-01-16 11:08:34

27.      MFT entry/sequence #: 17283/1 (0x4383/0x1)

28.   

29.    -Directory ==> 華南產物董監事及重要職員責任保險(第3次部分變更)

30.      Short name: 華南產物董監事及重要職員責任保險(第3次部分變更)

31.      Modified:    2023-01-16 11:08:30

32.      Extension block count: 1

33.   

34.      --------- Block 0 (Beef0004) ---------

35.      Long name: 華南產物董監事及重要職員責任保險(第3次部分變更)

36.      Created:     2022-12-21 12:19:58

37.      Last access: 2023-01-16 11:08:34

38.      MFT entry/sequence #: 17284/1 (0x4384/0x1)

39.   

40.  --- End Target ID information ---

41.   

42.  --- Extra blocks information ---

43.   

44.  >> Tracker database block

45.     Machine ID:  desktop-pj689uv

46.     MAC Address: 30:9c:23:87:6c:f4

47.     MAC Vendor:  MICRO-STAR INTL

48.     Creation:    2022-12-21 10:06:16

49.   

50.     Volume Droid:       00000000-0000-0000-0000-000000000000

51.     Volume Droid Birth: 00000000-0000-0000-0000-000000000000

52.     File Droid:         1bcb383b-8117-11ed-9ddd-309c23876cf4

53.     File Droid birth:   1bcb383b-8117-11ed-9ddd-309c23876cf4

54.   

55.  >> Property store data block (Format: GUID\ID Description ==> Value)

56.     446d16b1-8dad-4870-a748-402ea43d788c\104    Volume Id                           ==> Unmapped GUID: ab90fb54-944c-11ea-9cfb-309c23876cf4

57.   

58.   

59.  ---------- Processed C:\Users\user\AppData\Roaming\Microsoft\Windows\Recent\華南產物董監事及重要職員責任保險(第3次部分變更) (5).lnk in 0.06138880 seconds ----------

60.   

61.   

62.  Processing C:\Users\user\AppData\Roaming\Microsoft\Windows\Recent\華南產物董監事及重要職員責任保險(第3次部分變更) (6).lnk

63.   

64.  Source file: C:\Users\user\AppData\Roaming\Microsoft\Windows\Recent\華南產物董監事及重要職員責任保險(第3次部分變更) (6).lnk

65.    Source created:  2023-01-16 11:25:32

66.    Source modified: 2023-01-16 11:26:22

67.    Source accessed: 2026-07-10 10:59:55

68.   

69.  --- Header ---

70.    Target created:  2022-12-21 12:19:56

71.    Target modified: 2023-01-16 11:26:21

72.    Target accessed: 2023-01-16 11:26:22

73.   

74.    File size (bytes): 4,096

75.    Flags: HasTargetIdList, HasLinkInfo, IsUnicode, DisableKnownFolderTracking

76.    File attributes: FileAttributeDirectory

77.    Icon index: 0

78.    Show window: SwNormal (Activates and displays the window. The window is restored to its original size and position if the window is minimized or maximized.)

79.   

80.   

81.  --- Link information ---

82.  Flags: VolumeIdAndLocalBasePath

83.   

84.  >> Volume information

85.    Drive type: Removable storage media (Floppy, USB)

86.    Serial number: 0C83CE92

87.    Label: NeoTech

88.    Local path: I:\?OAI﹐g?o?H?P﹐e|wAI\?Y‥￡?OAI﹐g?o?H??￥q\﹐3oE‥A3d￥o?OAI\μO?n2￡a?\μO?n2￡a?﹐3oE‥A?I-?-nA?-u3d￥o?OAI(2A3|﹐3!?AAU§o)