Question

怎样知道系统时间什么时候被修改

单位有台电脑的文件夹被某人恶意修改了文件夹及文件夹名，并且在修改之前修改了系统时间，想查出这个人修改系统的时间，才能找出这个时间段接触过电脑的人，麻烦帮忙，谢谢大家
事件查看器里所能记录的信息少之又少，它并不记录修改系统时间的信息。
额..请帮忙的好心人们看清我的说明，此人是提前修改了系统时间，所以查看文件或文件夹的修改时间是没有用的，已经是修改过的系统时间了....
感谢2楼的朋友，但是经过同事领导讨论，怀疑此人修改系统时间后在关机之前又将系统时间改回正常时间最后才关机，请问下，假如这样还有什么好的办法吗？再次感谢。

Answer 1

查看查看自己电脑的开关机记录 在“开始”菜单的运行”中输“eventvwr.msc”，打开事件查看器，在左侧窗口中选择“系统”，从右侧系统事件中查找事件ID为6005、6006的事件(事件ID号为6005的事件表示事件日志服务已启动，即开机，同理事件ID：6006表示关机)，它们对应的时间就分别是开机时间和关机时间(如图1)。
如果你觉得从这么多事件中找开关机事件太费事，你可以使用“筛选”来使内容简洁。在事件查看器的“查看”菜单中选择“筛选”选项，在属性对话框中选择“筛选器”选项卡，并在其中勾选“信息”、“警告”、“错误”三项，在“事件来源”下拉列表中选择“eventlog”，单击“确定”按钮后，系统事件中的内容就少了很多，我们可以轻易找到最近的开关机时间。
如果你依旧觉得太费事，那只好使用必杀技了。在“开始”菜单中的“运行”中输入“C:\WINDOWS\schedlgu.txt”，在打开的schedlgu.txt文件中有“任务计划程序服务”已启动于和“任务计划程序服务”已退出于的时间，分别对应着开机和关机时间。
修改系统时间但以前那些开关机记录不会变，所以你可找出什么时候系统时间变了。

Answer 2

找到这些被修改的文件后，在上面的查看菜单里选详细信息，右面第四项就是修改日期。

Answer 3

用事件查看器是最可靠的。

Answer 4

*************************************************************************************************************
故障原因 system failure
在C:\WINDOWS\Prefetch\下.一个一个的查看.
查看在C:\WINDOWS\下SchedLgU.Txt文件.
删除在C:\WINDOWS\Tasks\下.所有文件.