Hace un tiempo tuve la necesidad de ver la fecha de creación de un fichero en un servidor Linux. Conocía las fechas atime, ctime y mtime, pero no tenía muy claro cómo ver la fecha en la que el fichero se creó, puesto que por defecto, la salida del comando «ls -l» muestra la fecha de modificación del mismo.
Finamente he llegado a un blog donde explican perfectamente cómo sacar la crtime (o CReation Time). La idea es usar el comando «stat» con «debugfs». Para ello, primero tenemos que tomar como referencia la raíz del sistemas de ficheros que contiene el archivo a inspeccionar.
Por ejemplo, si se quiere revisar un fichero que está en /var/log/audit/audit.log, primero se deberá revisar el fstab del servidor:
[root@server var]# cat /etc/fstab
Esto nos devolverá las diferentes particiones de nuestro sistema de ficheros. Si el fichero estuviera en la partición de «root», deberíamos usar el path absoluto para referirnos a él, pero también podría ser que /var/log tuviera su propia partición, como vemos a continuación:
/dev/mapper/vg_server-lv_varlog /var/log ext4 defaults 1 2
Si fuera el caso, deberemos referirnos al fichero desde audit/audit.log, sin incluir el /var/log. El comando para nuestro ejemplo quedaría así:
[root@server var]# debugfs -R 'stat audit/audit.log' /dev/mapper/vg_server-lv_varlog
Ésto, devolvería entre otras cosas, lo siguiente, donde el crtime es el valor de creación del fichero:
ctime: 0x5024b0f7:0cda1824 -- Fri Aug 10 08:57:59 2012
atime: 0x5024a126:9076d5bc -- Fri Aug 10 07:50:30 2012
mtime: 0x5024b0f7:0cda1824 -- Fri Aug 10 08:57:59 2012
crtime: 0x5024a126:9076d5bc -- Fri Aug 10 07:50:30 2012
Foto por Alan Cleaver