Wat is een Windows FILETIME-tijdstempel?

Een Windows FILETIME-tijdstempel is een 64-bits waarde die het aantal intervallen van 100 nanoseconden weergeeft dat is verstreken sinds 1 januari 1601 om 00:00:00 UTC. Dit epoch ligt precies 369 jaar vóór het bekendere Unix-epoch (1 januari 1970). Microsoft koos dit beginpunt omdat het het begin markeert van een 400-jarige cyclus in de Gregoriaanse kalender, wat schrikkeljaarberekeningenvereenvoudigt.

FILETIME-waarden komen overal in Windows-systemen voor, waaronder NTFS-bestandsmetadata, Active Directory-attributen (zoals accountExpires, lastLogonTimestamp en pwdLastSet), Windows Registry-vermeldingen en LDAP-directoryquery's. Omdat deze tijdstempels worden opgeslagen als grote gehele getallen in plaats van voor mensen leesbare datums, vereist handmatige conversie kennis van zowel de epoch-offset als het tick-interval.

Beschrijving van de tool

Deze tool converteert Windows FILETIME-tijdstempels naar leesbare datum- en tijdformaten en omgekeerd. Plak een FILETIME-waarde om direct de bijbehorende datum in meerdere formaten te zien, of kies een datum en tijd om de overeenkomstige FILETIME-waarde te genereren. Alle conversies zijn tijdzonebewust met een doorzoekbare tijdzoneselector.

Voorbeelden

Windows FILETIME Datum (UTC)
132812448000000000 2021-12-01 00:00:00
116444736000000000 1970-01-01 00:00:00 (Unix-epoch)
130000000000000000 2012-02-17 05:46:40
133600000000000000 2024-05-17 04:26:40

Functies

  • Bidirectionele conversie tussen Windows FILETIME-ticks en voor mensen leesbare datums
  • Meerdere uitvoerformaten: FILETIME-ticks, Unix-tijdstempel (seconden), ISO 8601, UTC, lokale tijd en relatieve tijd
  • Doorzoekbare tijdzoneselector met UTC-offsetweergave voor nauwkeurige lokale tijdconversie
  • Knop met één klik om de huidige tijd in te voegen als Windows-tijdstempel
  • Datum- en tijdkiezer voor omgekeerde conversie van een gekozen datum terug naar FILETIME

Hoe het werkt

De converter past een vaste offset toe om te vertalen tussen het Windows- en het Unix-epoch. Het Windows-epoch begint op 1 januari 1601, terwijl het Unix-epoch begint op 1 januari 1970. Het verschil tussen deze twee datums bedraagt precies 11.644.473.600 seconden, oftewel 116.444.736.000.000.000 in ticks van 100 nanoseconden.

Om een FILETIME-waarde naar een datum te converteren, trekt de tool de epoch-offset af en deelt door 10.000 om milliseconden te verkrijgen sinds het Unix-epoch. Voor de omgekeerde richting vermenigvuldigt de tool de Unix-milliseconden met 10.000 en telt de offset er weer bij op. Alle berekeningen maken gebruik van BigInt om de volledige 64-bits precisie van FILETIME-waarden te behouden.

Toepassingen

  • Systeembeheer: Decodeer Active Directory-attributen zoals lastLogonTimestamp of pwdLastSet bij het oplossen van accountproblemen of het controleren van gebruikersactiviteit
  • Digitale forensica: Converteer NTFS-bestandstijdstempels tijdens incidentrespons om tijdlijnen op te stellen op basis van Windows-schijfimages of gebeurtenislogboeken
  • Softwareontwikkeling: Debug of verifieer FILETIME-waarden die worden aangetroffen in Windows API's, Registry-vermeldingen of bestandsmetadata tijdens applicatieontwikkeling