关于Procmon保存XML中Process CreateTime数值含义的技术咨询

那个看起来奇怪的数字133261869619355124是Windows系统标准的FILETIME时间戳，具体规则如下：

• 单位为100纳秒（即每1个单位代表0.1微秒）
• 起始计算点是UTC时间1601年1月1日

你可以验证一下：把这个数值乘以100纳秒，转换为UTC时间后是2023-04-17 06:36:01.9355124，加上东八区的8小时时差，正好对应你提到的实际创建时间2023/4/17 14:36:01。

它和咱们常用的Unix时间戳（以1970年1月1日为起点）完全不同，所以你按纳秒、毫秒、微秒直接套Unix时间戳的逻辑转换，肯定匹配不上。Procmon导出的XML里默认用这个格式存储进程创建时间，这是Windows系统底层时间表示的标准格式。

内容的提问来源于stack exchange，提问作者typeryougishiki