用途：检测攻击者通过修改文件时间戳将恶意文件混入正常目录的防御规避行为（MITRE ATT&CK T1070.006），适用于取证调查、威胁狩猎、时间线完整性验证与可疑文件初筛。
主要能力：核心原理是 $STANDARD_INFORMATION（SI）时间戳可被用户态工具轻易修改，而 $FILE_NAME（FN）时间戳仅由 NTFS 内核驱动更新。当 SI 早于 FN 时，很可能存在时间戳篡改。检测逻辑包括：SI Created 早于 FN Created；SI Modified 早于 FN Created；SI 纳秒位为零（工具痕迹）；SI 与 FN 时间差超过一年；SI 条目修改时间远晚于创建时间。可识别 Timestomp（Metasploit）、NTimeStomp、SetMACE、PowerShell Set-ItemProperty 等工具痕迹。
使用方式：先从 Windows 系统或磁盘镜像提取原始 $MFT（可用 KAPE、FTK Imager、RawCopy、icat 等），再用 MFTECmd 解析为含 0x10 与 0x30 时间戳列的 CSV，然后用 Python 3.8+ 与 pandas 加载并运行检测函数，输出可疑条目。可进一步用 USN Journal 的 BASIC_INFO_CHANGE 事件、ShimCache/Amcache 时间线进行交叉验证，最后生成 JSON 检测报告。
限制：不可作为唯一检测手段，高级攻击者可同时篡改 SI 与 FN（后者需原始磁盘访问，难度更高），应结合 USN Journal、$LogFile、ShimCache/Amcache 综合判断。纳秒为零的检查可能对安装程序产生误报，需用已知干净镜像建立误报基线。需处理已删除条目（InUse=false）。