Everything 在应急响应中的使用

摘要：在入侵排查过程中，检索最近的文件变动是非常重要的一个步骤。而Windows中并没有像Linux那样的find命令可以支持查找指定时间段内变动的文件。而命令行的Everything（es）的出现刚好弥补了Windows命令行文件查找的功能。

在入侵排查过程中，检索最近的文件变动是非常重要的一个步骤。而Windows中并没有像Linux那样的find命令可以支持查找指定时间段内变动的文件。而命令行的Everything（es）的出现刚好弥补了Windows命令行文件查找的功能。

文章目录

安装everthing命令行版ESES 命令行注意事项特殊符号转义优化查找优先级ES在应急排查中的常用选项应急排查常用参数函数语法大小语法日期常数ES应急排查常用语句汇总指定日期发生变动的txt文件，最多显示10个最近7天内发生变动且小于20kb的jsp文件某时间段内被访问过且包含指定字符串的文件某日期前创建且指定字符串开头文件名的日志文件指定目录下的图片文件查找包含指定文件名的父文件夹指定字符结尾的文件名Everything 高级用法补充批量文件正则重命名文件时间QAQ:为什么有的文件修改时间早于创建时间？

同时下载ES，放到 C:\Windows\System32\ 目录下。

可以在cmd中调用es就算安装成功。

注：命令行执行es需要先在后台运行everything。

命令行和GUI会有部分使用区别，一些特殊符号\ & | >

es ext:log dm:">20230101" dm:"

es有从左到右的搜索优先级排序。比如同样的搜索规则，交换上面的顺序。

es dm:">20230101" dm:"

虽然得到的结果是一样的，但是查找的速度慢很多。这里是先查找这一个月内变动的所有文件，再从中查找log的文件。

path: 匹配路径和文件名.file:仅匹配文件.folder:仅匹配文件夹.child: 搜索包含匹配文件名文件的文件夹.parent: 搜索指定路径下的文件和文件夹 (不包含子文件夹).content: 搜索文本内容.count: 指定搜索结果最大值.da: 搜索指定访问时间的文件和文件夹.dc: 搜索指定创建日期的文件和文件夹.dm: 搜索指定修改日期的文件和文件夹.rc: 搜索指定最近修改日期的文件和文件夹.startwith: 搜索指定文本开头的文件.endwith: 搜索以指定文本结尾的文件 (包含扩展名).ext: 搜索和列表中指定的扩展名匹配的文件 (扩展名以分号分隔).size: 搜索指定大小的文件 (以字节为单位).

da、dc、dm分别对应的就是atime、ctime、mtime。

function:value 等于某设定值.function:function:>=value 大于等于某设定值.function:start..end 在起始值和终止值的范围内.function:start-end 在起始值和终止值的范围内.

比如上面的

dm:">20230101" dm:"

等价于

dm:"20230101..20230201"

等价于

dm:"20230101-20230201"

后面的两个是指常量可以拼接。比如：

上周可以表示为：lastweek过去三天可以表示为：last3days当前这一个小时可以表示为：this1hours

下面这些语句会尽量涵盖上面所有的常用参数，可以帮助进一步理解每个参数的含义和用法。

es rc:"20230209" ext:txt count:10