Time Zone
內容
1 摘要
本次滲透測試的標的─「Time Zone」是新心資安自己的辦公用電腦做數位鑑識的結果。起因是筆者在看CHFI暗網鑑識的Tor洋蔥瀏覽器鑑識時提到，如果犯罪嫌疑人已經移除Tor，則需要從prefetch檔進行鑑識，於是我開始研究prefetch檔。本次鑑識的標的是我工作時用的電腦，在研究prefetch檔時發現adobe pdf reader連續二天在半夜三點有開始的紀錄，但是平常我作息是早上9點開電腦，晚上10點關電腦。
因此我一直鍥而不捨的追踨的結果，發現是解析prefetch的應用程式，時區是+00：00，而台北的時區是+08：00，所以系統顯示的早上3點要加8個小時，變成上午11點。而我還不滿意，進一步的追，才得到滿意結果。
。
2 目的和範圍
本次數位鑑識的目的，在於重點說明本公司的數位鑑識服務，透過完整的報告格式來呈現，使本公司的潛在客戶可以對齊自己的需求，未來可以做為委託本公司進行數位鑑識的基準。
|
筆記標題 |
從adobe pdf reader執行時間為凌晨3點看鑑識工具的交叉驗證 |
|
知識描述 |
Windows11已經拿掉程式執行的時間線功能，但是對於各項程式的執行，透過鑑識工具就可以一窺全貌。讀者或許有一個疑問，為什麼要以自己工作的電腦來練習鑑識，因為開關機、工作的時間很好掌握，並且可以看出很多細節。 |
|
原理思考 |
鑑識工具都使用UTC+0：00中央協調時間，以便全球的鑑識人員能以一致的證據解讀相溝通。 |
|
聯想思考 |
如果不是出現半夜3點有PDF讀取的紀錄，我也不會對鑑識工具時區加以懷疑，後來配合各種工具交相比對，才得以安心。 |
|
應用思考 |
除了這次write up所揭露的adobe pdf以外，還有很多應用程式，之後在到客戶端做鑑識和證據保存時，也都需要注意。 |
|
經驗聯想 |
執行的程式，會有各種行為，尤其是執行檔案、傳輸資料，這也是後續我們應該要加以注意補強的。 |
|
指導行動 |
以後如果應用AI來分析具時間戳的檔案，一定要讓AI記得轉為GMT+8：00台北時間再報告結果。 |
|
工具衍生 |
工具下載網址：https://ericzimmerman.github.io/ 請先下載放在D：\或C:\ PECmd.exe
(Prefetch Explorer Command Line) 是 Eric Zimmerman 開發的 Windows Prefetch（預取檔案，.pf）高效數位鑑識解析工具。 LECmd.exe
(Lnk Explorer Command Line) 是由知名數位鑑識專家 Eric Zimmerman 開發的
Windows 快捷鍵（.lnk）檔案解析工具。 事件檢視器（windows內建） |
3 測試方法和流程
測試方法：
一、
鑑識工具：LECmd.exe、PECmd.exe、事件檢視器
二、
規範：ISO/IEC 27037 國際標準這是全球數位鑑識最核心的指導框架，專門規範「數位證據的識別、收集、獲取與保存」。
I.
識別（Identification）：識別出哪些實體或虛擬媒介包含潛在證據。
II. 收集（Collection）：將可能包含證據的實體設備（如硬碟、手機）妥善移走並封存。
III.
獲取（Acquisition）：在不改變原始資料的前提下，進行映像檔（Imaging）製作。
IV. 保存（Preservation）：透過雜湊值（Hash Value, 如 MD5/SHA-256）確保證據在整個生命週期中未被篡改。。
三、
檢查項目：
I.
Prefetch檔資料─adobe pdf reader，分析該程式最新的執行時間紀錄
II. Windows 快捷鍵資料，分析特定時間開啟的檔案
III.
從windows 事件檢視器查詢安全性紀錄
IV. 對前開三個檔案做MD5雜湊值完整性紀錄
時程表：
一、
取證時間：2026/7/18 09：00-18：00
二、
報告撰寫時間：2026/7/25-2026/8/1 09:00-18：00
4 發現的鑑識結果和風險評估
一、 鑑識結果名稱和描述：adobe開始執行時間經時間調整後為上午10：00連續二天，和辦公室作息結果相符
二、 鑑識種類：程式執行
三、 影響的系統或元件：影響Linux、Windows跨平台作業系統
四、 測試過程中的過程：
1.
洞察本質：雖然不方便，但是鑑識工具讀取windows底層資料時，預設是以GMT+0:00
2.
質疑假設：AI原先誤判，認為是GMT+8:00(台北時區)，於是回報凌晨3點連續二天有開啟adobe
pdf reader紀錄。
五、 潛在的風險和影響：
由於辦公室電腦晚上不用時電源會拔掉，不可能網路開機，出現3點時的存取紀錄，開始我還以為自己失眠時起來用電腦。後來一看，有一天是考高考三級後的隔天，那時很累應該不可能凌晨起來使用。所以就一直和AI對話，從各種可能性排查。
5 鑑識建議和策略
一、 AI同儕審查：本來Google的AI模型Gemini說鑑識工具會是使用當地時區，例如GMT+8：00台北時區。經過向Open AI的ChatGPT查證後確認鑑識工具使用的是GMT+8：00格林威治時間。
二、 交叉驗證：在Windows平台要證實一件事，可以查閱多個不同的資料來交相驗證。比方從事件檢視器、檔案總管、系統資料。
6 結論
總結本次數位鑑識的過程和結果，最重要的發現和建議的二點，第一點是AI模型有其侷限，可能會出錯。
第二點是對於鑑識結果必須要時刻小心，不輕下結論。
。
7 附件和參考資料
Step1.
關鍵的prefetch檔案執行結果如附
1.
D:\>pecmd -f
C:\Windows\Prefetch\ACROBAT.EXE-4E1700B6.pf
2.
PECmd version 2026.5.0
3.
4.
Author: Eric Zimmerman
(saericzimmerman@gmail.com)
5.
https://github.com/EricZimmerman/PECmd
6.
7.
Command line: -f
C:\Windows\Prefetch\ACROBAT.EXE-4E1700B6.pf
8.
9.
Warning: Administrator
privileges not found!
10.
11.
Keywords: temp, tmp
12.
13.
Processing
C:\Windows\Prefetch\ACROBAT.EXE-4E1700B6.pf
14.
15.
Created on: 2024-08-12 13:31:43
16.
Modified on: 2026-07-09
09:35:57
17.
Last accessed on: 2026-07-10
09:56:41
18.
19.
Executable name: ACROBAT.EXE
20.
Hash: 4E1700B6
21.
File size (bytes): 184,868
22.
Version: Windows 10 or Windows
11
23.
24.
Run count: 1,501
25.
Last run: 2026-07-09 09:35:46
26.
Other run times: 2026-07-09
09:32:09, 2026-07-09 09:19:49, 2026-07-09 08:52:28, 2026-07-08 09:48:07,
2026-07-08 07:51:50, 2026-07-08 03:03:32, 2026-07-07 03:41:53
27.
28.
Volume information:
29.
30.
#0: Name:
\VOLUME{01d6278415e81c2f-b6163964} Serial: B6163964 Created: 2020-05-11
11:05:31 Directories: 19 File references: 98
31.
32.
Directories referenced: 19
33.
34.
00:
\VOLUME{01d6278415e81c2f-b6163964}\PROGRAM FILES
35.
01:
\VOLUME{01d6278415e81c2f-b6163964}\PROGRAM FILES\ADOBE
36.
02:
\VOLUME{01d6278415e81c2f-b6163964}\PROGRAM FILES\ADOBE\ACROBAT DC
37.
03:
\VOLUME{01d6278415e81c2f-b6163964}\PROGRAM FILES\ADOBE\ACROBAT DC\ACROBAT
38.
04:
\VOLUME{01d6278415e81c2f-b6163964}\PROGRAM FILES\WINDOWSAPPS
39.
05:
\VOLUME{01d6278415e81c2f-b6163964}\PROGRAM
FILES\WINDOWSAPPS\MICROSOFT.LANGUAGEEXPERIENCEPACKZH-TW_22621.157.463.0_NEUTRAL__8WEKYB3D8BBWE
40.
06:
\VOLUME{01d6278415e81c2f-b6163964}\PROGRAM
FILES\WINDOWSAPPS\MICROSOFT.LANGUAGEEXPERIENCEPACKZH-TW_22621.157.463.0_NEUTRAL__8WEKYB3D8BBWE\WINDOWS
41.
07:
\VOLUME{01d6278415e81c2f-b6163964}\PROGRAM
FILES\WINDOWSAPPS\MICROSOFT.LANGUAGEEXPERIENCEPACKZH-TW_22621.157.463.0_NEUTRAL__8WEKYB3D8BBWE\WINDOWS\SYSTEM32
42.
08:
\VOLUME{01d6278415e81c2f-b6163964}\PROGRAM
FILES\WINDOWSAPPS\MICROSOFT.LANGUAGEEXPERIENCEPACKZH-TW_22621.157.463.0_NEUTRAL__8WEKYB3D8BBWE\WINDOWS\SYSTEM32\ZH-TW
43.
09:
\VOLUME{01d6278415e81c2f-b6163964}\PROGRAM
FILES\WINDOWSAPPS\MICROSOFT.LANGUAGEEXPERIENCEPACKZH-TW_22621.157.463.0_NEUTRAL__8WEKYB3D8BBWE\WINDOWS\SYSTEM32\ZH-TW\916E0675EF87C1663D33CB3C1E5E5FB4
44.
10:
\VOLUME{01d6278415e81c2f-b6163964}\PROGRAMDATA
45.
11:
\VOLUME{01d6278415e81c2f-b6163964}\PROGRAMDATA\MICROSOFT
46.
12:
\VOLUME{01d6278415e81c2f-b6163964}\PROGRAMDATA\MICROSOFT\WINDOWS
47.
13:
\VOLUME{01d6278415e81c2f-b6163964}\PROGRAMDATA\MICROSOFT\WINDOWS\CACHES
48.
14:
\VOLUME{01d6278415e81c2f-b6163964}\WINDOWS
49.
15:
\VOLUME{01d6278415e81c2f-b6163964}\WINDOWS\GLOBALIZATION
50.
16:
\VOLUME{01d6278415e81c2f-b6163964}\WINDOWS\GLOBALIZATION\SORTING
51.
17:
\VOLUME{01d6278415e81c2f-b6163964}\WINDOWS\SYSTEM32
52.
18:
\VOLUME{01d6278415e81c2f-b6163964}\WINDOWS\WINSXS\AMD64_MICROSOFT.WINDOWS.COMMON-CONTROLS_6595B64144CCF1DF_6.0.22621.6060_NONE_2712EDA17382D24B
53.
54.
Files referenced: 124
Step2. LECmd.exe針對lnk捷徑鑑識的結果
1.
--------- Block 0 (Beef0004) ---------
2.
Long name: 看見保險經紀人公司
3.
Created:
2022-12-09 11:42:20
4.
Last access: 2023-01-16 10:46:34
5.
MFT entry/sequence #: 16943/30
(0x422F/0x1E)
6.
7.
-Directory ==> 董監事責任保險
8.
Short name: 董監事責任保險
9.
Modified:
2023-01-03 10:59:14
10.
Extension block count: 1
11.
12.
--------- Block 0 (Beef0004) ---------
13.
Long name: 董監事責任保險
14.
Created:
2022-12-14 10:06:22
15.
Last access: 2023-01-16 10:46:34
16.
MFT entry/sequence #: 16984/4 (0x4258/0x4)
17.
18.
-Directory ==> 華南產物
19.
Short name: 華南產物
20.
Modified:
2022-12-21 12:40:10
21.
Extension block count: 1
22.
23.
--------- Block 0 (Beef0004) ---------
24.
Long name: 華南產物
25.
Created:
2022-12-21 12:19:42
26.
Last access: 2023-01-16 11:08:34
27.
MFT entry/sequence #: 17283/1 (0x4383/0x1)
28.
29.
-Directory ==> 華南產物董監事及重要職員責任保險(第3次部分變更)
30.
Short name: 華南產物董監事及重要職員責任保險(第3次部分變更)
31.
Modified:
2023-01-16 11:08:30
32.
Extension block count: 1
33.
34.
--------- Block 0 (Beef0004) ---------
35.
Long name: 華南產物董監事及重要職員責任保險(第3次部分變更)
36.
Created:
2022-12-21 12:19:58
37.
Last access: 2023-01-16 11:08:34
38.
MFT entry/sequence #: 17284/1 (0x4384/0x1)
39.
40.
--- End Target ID information
---
41.
42.
--- Extra blocks information
---
43.
44.
>> Tracker database block
45.
Machine ID:
desktop-pj689uv
46.
MAC Address: 30:9c:23:87:6c:f4
47.
MAC Vendor:
MICRO-STAR INTL
48.
Creation:
2022-12-21 10:06:16
49.
50.
Volume Droid: 00000000-0000-0000-0000-000000000000
51.
Volume Droid Birth:
00000000-0000-0000-0000-000000000000
52.
File Droid: 1bcb383b-8117-11ed-9ddd-309c23876cf4
53.
File Droid birth: 1bcb383b-8117-11ed-9ddd-309c23876cf4
54.
55.
>> Property store data
block (Format: GUID\ID Description ==> Value)
56.
446d16b1-8dad-4870-a748-402ea43d788c\104 Volume Id ==> Unmapped
GUID: ab90fb54-944c-11ea-9cfb-309c23876cf4
57.
58.
59.
---------- Processed
C:\Users\user\AppData\Roaming\Microsoft\Windows\Recent\華南產物董監事及重要職員責任保險(第3次部分變更) (5).lnk in
0.06138880 seconds ----------
60.
61.
62.
Processing
C:\Users\user\AppData\Roaming\Microsoft\Windows\Recent\華南產物董監事及重要職員責任保險(第3次部分變更) (6).lnk
63.
64.
Source file:
C:\Users\user\AppData\Roaming\Microsoft\Windows\Recent\華南產物董監事及重要職員責任保險(第3次部分變更) (6).lnk
65.
Source created: 2023-01-16 11:25:32
66.
Source modified: 2023-01-16 11:26:22
67.
Source accessed: 2026-07-10 10:59:55
68.
69.
--- Header ---
70.
Target created: 2022-12-21 12:19:56
71.
Target modified: 2023-01-16 11:26:21
72.
Target accessed: 2023-01-16 11:26:22
73.
74.
File size (bytes): 4,096
75.
Flags: HasTargetIdList, HasLinkInfo,
IsUnicode, DisableKnownFolderTracking
76.
File attributes: FileAttributeDirectory
77.
Icon index: 0
78.
Show window: SwNormal (Activates and displays
the window. The window is restored to its original size and position if the
window is minimized or maximized.)
79.
80.
81.
--- Link information ---
82.
Flags: VolumeIdAndLocalBasePath
83.
84.
>> Volume information
85.
Drive type: Removable storage media (Floppy,
USB)
86.
Serial number: 0C83CE92
87.
Label: NeoTech
88.
Local path: I:\?OAI﹐g?o?H?P﹐e|wAI\?Y‥￡?OAI﹐g?o?H??￥q\﹐3oE‥A3d￥o?OAI\μO?n2￡a?\μO?n2￡a?﹐3oE‥A?I-?-nA?-u3d￥o?OAI(2A3|﹐3!?AAU§o)
