搜索

[21014] 2020-05-08_谈谈NTFS数据流文件

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2020-05-08_谈谈NTFS数据流文件 谈 谈 N T F S 数 据 流 文 件 L e m o n S e c   2 0 2 0 - 0 5 - 0 8   1 、 什 么 是 N T F S 数 据 流 文 件 ？ 要 了 解 N T F S 流 文 件 之 前 ， 你 应 该 对 N T F S 文 件 系 统 有 一 定 的 了 解 ，   N T F S 是 微 软 W i n d o w s   N T 内 核 的 系 列 操 作 系 统 支 持 的 、 一 个 特 别 为 网 络 和 磁 盘 配 额 、 文 件 加 密 等 管 理 安 全 特 性 设 计 的 磁 盘 格 式 。 N T F S 比 F A T 文 件 系 统 更 稳 定 ， 更 安 全 ， 功 能 也 更 为 强 大 。 这 个 N T F S 数 据 流 文 件 ， 也 叫 A l t e r n a t e   d a t a   s t r e a m s ， 简 称 A D S ， 是 N T F S 文 件 系 统 的 一 个 特 性 之 一 ， 允 许 单 独 的 数 据 流 文 件 存 在 ， 同 时 也 允 许 一 个 文 件 附 着 多 个 数 据 流 ， 即 除 了 主 文 件 流 之 外 还 允 许 许 多 非 主 文 件 流 寄 生 在 主 文 件 流 之 中 ， 它 使 用 资 源 派 生 的 方 式 来 维 持 与 文 件 相 关 信 息 ， 并 且 这 些 寄 生 的 数 据 流 文 件 我 们 使 用 资 源 管 理 器 是 看 不 到 的 。   2 、 为 什 么 N T F S 有 数 据 流 这 个 特 性 ？ 原 意 是 为 了 和 M a c i n t o s h 的 H F S 文 件 系 统 兼 容 而 设 计 的 ， 使 用 这 种 技 术 可 以 在 一 个 文 件 资 源 里 写 入 相 关 数 据 ( 并 不 是 写 入 文 件 中 ) ， 而 且 写 进 去 的 数 据 可 以 使 用 很 简 单 的 方 法 把 它 提 取 出 来 作 为 一 个 独 立 文 件 读 取 ， 甚 至 执 行   3 、 为 什 么 资 源 管 理 器 里 面 看 不 到 文 件 所 带 的 数 据 流 文 件 呢 ？ 从 网 上 找 来 的 原 因 是 ： 我 们 之 所 以 无 法 在 系 统 中 看 到 N T F S 数 据 流 文 件 ， 是 因 为 W i n d o w s 中 的 很 多 工 具 对 数 据 流 文 件 的 支 持 并 不 是 很 好 ， 就 像 “ 资 源 管 理 器 ” ， 我 们 无 法 在 “ 资 源 管 理 器 ” 中 看 到 有 关 数 据 流 文 件 的 变 化 。 不 过 这 个 原 因 很 奇 怪 ， 同 样 是 M S 自 己 做 的 东 西 ， " 资 源 管 理 器 都 支 持 不 好 ， 还 有 啥 工 具 能 支 持 好 呢 ？ "   ， 后 来 再 想 ， 也 可 能 是 这 样 一 个 原 因 ： 在 当 时 写 有 关 N T F S 文 件 系 统 的 数 据 流 存 储 的 时 候 很 多 W I N D O W S 工 具 没 有 相 应 的 更 新 ， 同 时 呢 N T F S 流 的 显 示 与 普 通 的 文 件 不 一 样 ， 需 要 使 用 其 他 的 枚 举 方 式 来 完 成 ， 再 有 N T F S 对 广 大 普 通 用 户 桌 面 用 户 来 说 没 有 必 要 去 看 到 ， 更 多 的 是 被 专 业 软 件 所 使 用 ， 即 使 显 示 出 来 也 没 意 义 。   4 、 如 何 查 看 ， 创 建 ， 删 除 N T F S 流 文 件 ？ N T F S 流 文 件 分 两 种 情 况 ， 一 种 是 附 着 于 宿 主 文 件 ， 一 种 是 单 独 的 数 据 流 文 件 。 这 里 将 介 绍 两 种 编 辑 流 文 件 的 方 法 ， 一 是 系 统 自 带 的 命 令 ， 一 是 使 用 工 具 。   1 )     系 统 命 令 编 辑 流 文 件 实 例 ： a )   创 建 单 独 的 数 据 流 文 件 命 令 行 下 使 用 下 面 的 命 令 ： e c h o   " t h i s   i s   a   s t r e a m   f i l e "   >   : t e s t 1 . t x t O K ， 这 样 创 建 了 的 流 对 于 d i r 或 者 资 源 浏 览 器 是 完 全 不 可 见 的 ， 就 是 说 是 隐 藏 的 ， 只 有 使 用 n o t e p a d   : t e s t 1 . t x t 可 以 查 看 。 而 即 使 我 们 知 道 了 它 的 存 在 也 无 法 删 除 ， 系 统 d e l 命 令 不 支 持 删 除 流 文 件 。
b )   关 联 数 据 流 文 件 首 先 在 C : / 下 创 建 一 个 主 文 件 ， 打 开 记 事 本 输 入 t h i s   i s   t h e   m a i n   f i l e 保 存 为 t e s t . t x t ， 下 面 我 们 为 它 关 联 一 个 流 文 件 。 命 令 行 下 输 入 ： e c h o   " t h i s   i s   a   s t r e a m   f i l e "   >   t e s t . t x t : s t r e a m . t x t ” 。 这 样 我 们 就 创 建 了 一 个 名 为 s t r e a m . t x t ， 内 容 为 “ t h i s   i s   a   s t r e a m f i l e ” 的 数 据 流 文 件 ， 并 与 宿 主 文 件 t e s t . t x t 进 行 了 关 联 。 当 然 你 是 没 法 在 C : / 下 找 到 s t e a m . t x t 文 件 的 ， 同 时 查 看 宿 主 文 件 t e s t . t x t 文 件 ， 内 容 依 然 没 变 ， 但 是 如 果 你 前 后 关 注 下 这 个 宿 主 文 件 大 小 ， 你 会 发 现 变 化 的 。 同 样 只 能 通 过 命 令 行 让 它 现 形 ， 输 入 ： n o t e p a d   t e s t . t x t : s t r e a m . t x t , 是 不 是 打 开 了 你 刚 创 建 的 流 文 件 了 ， 哈 哈 ， 我 是 看 到 了 。   2 )   使 用 N T F S   S t r e a m s   i n f o 工 具 ： 经 过 前 面 的 操 作 ， 可 以 发 现 系 统 命 令 对 N T F S 数 据 流 文 件 的 支 持 还 是 很 不 好 的 ， 那 么 我 们 使 用 工 具 吧 ， N T F S   S t r e a m s   i n f o ， 通 过 它 你 可 以 查 看 ， 创 建 ， 删 除 流 文 件 。 a )   查 看 流 文 件 想 知 道 你 系 统 中 到 底 哪 些 文 件 带 着 流 吗 ？ 打 开 N T F S   S t r e a m s   i n f o ， 在 左 窗 口 选 择 你 要 查 看 目 录 ， 切 换 到 工 具 界 面 中 间 v i e w 标 签 页 ， 单 击 s t a r t   按 钮 ， 右 边 窗 口 将 以 红 色 标 记 显 示 带 着 流 的 文 件 。 如 下 图 ： 同 样 在 访 问 文 件 的 过 程 中 ， 也 可 以 用 工 具 p r o c e s s m o n i t o r 查 看 ， 如 果 文 件 带 了 数 据 流 文 件 ， 会 被 显 示 出 来 ， 如 C : / r e a d m e . h t m l : U n N a m e d ， 表 示 r e a d m e . h t m l 文 件 带 了 隐 藏 的 数 据 流 文 件 。 b )   创 建 流 文 件 右 窗 口 选 择 一 文 件 ， 下 面 我 们 为 该 文 件 关 联 数 据 流 文 件 :   选 择 菜 单 F o l d e r - - C r e a t e   n e w   A d s   f r o m   f i l e   ， 这 时 你 就 可 以 将 任 意 文 件 作 为 流 文 件 关 联 在 一 个 文 件 后 面 。 c )   删 除 流 文 件 使 用 N T F S   S t r e a m s   i n f o 查 看 到 某 些 文 件 有 带 流 文 件 后 ， 再 选 择 菜 单 ： F o l d e r - - R e m o v e   A D S 或 者 B a t c h   R e m o v e i n g 即 可 删 除 对 应 的 流 文 件 。 还 有 一 种 删 除 方 法 ， 因 为 只 有 N T F S 文 件 系 统 支 持 数 据 流 文 件 ， 所 以 将 文 件 转 移 到 F A T 文 件 系 统 下 ， 所 带 的 数 据 流 文 件 自 动 就 会 被 删 除 掉 了 。
  5 、 N T F S 流 文 件 如 何 执 行 ， 数 据 流 病 毒 如 何 防 范 ？ 虽 然 数 据 流 可 以 插 入 ， 但 你 不 能 直 接 执 行 数 据 流 文 件 ， 所 以 很 多 杀 毒 软 件 对 这 数 据 流 病 毒 的 支 持 不 太 好 。 可 是 病 毒 制 作 者 常 常 能 把 病 毒 代 码 和 执 行 的 代 码 - - ( 简 单 的 调 用 和 处 理 的 命 令 ) 追 加 到 流 文 件 中 ， 就 有 破 坏 系 统 的 可 能 。 具 体 怎 么 执 行 的 ， 那 就 需 要 好 好 分 析 下 病 毒 技 术 了 ， 鄙 人 才 疏 学 浅 ， 没 整 明 白 ， 下 面 是 一 种 比 较 常 见 到 的 数 据 流 文 件 执 行 方 法 : 是 直 接 在 注 册 表 中 的 r u n 键 下 添 加 数 据 流 文 件 的 完 整 路 径 : H K E Y _ L O C A L _ M A C H I N E / S o f t w a r e / M i c r o s o f t / W i n d o w s / C u r r e n t V e r s i o n / R u n ， 建 立 键 值 " 1 2 3 "   =   % f i l e p a t h % :   % s t r e a m N a m e % ， 下 次 系 统 启 动 时 就 会 自 动 运 行 该 隐 藏 文 件 。 对 于 没 有 使 用 过 苹 果 产 品 的 我 来 说 ， N T F S 数 据 流 文 件 的 好 处 ， 我 没 发 现 ， 说 说 坏 处 吧 ， 正 如 前 面 提 到 的 ， 因 为 任 何 文 件 都 可 以 作 为 数 据 流 文 件 ， 因 为 N T F S 流 文 件 的 隐 藏 功 能 ， 这 正 好 被 投 机 倒 把 的 分 子 利 用 了 ， 做 啥 ？ 搞 破 坏 ， 还 做 的 神 不 知 鬼 不 觉 。 很 多 恶 意 软 件 可 以 使 用 数 据 流 文 件 系 统 来 隐 藏 恶 意 代 码 以 逃 避 病 毒 扫 描 程 序 的 检 查 。 那 么 如 何 防 范 呢 ？ a )   常 见 到 的 自 解 压 文 件 ， 不 要 双 击 直 接 运 行 ， 可 以 在 自 解 压 文 件 上 点 击 鼠 标 右 键 ， 选 择 “ 用 W i n r a r 打 开 ” ， 如 果 发 现 其 中 的 文 件 夹 是 空 的 ， 那 么 就 要 留 个 心 眼 了 ， 很 可 能 这 就 是 一 个 数 据 流 木 马 陷 阱 。 b )   不 管 杀 毒 软 件 是 不 是 能 查 杀 N T F S 数 据 流 木 马 ， 木 马 程 序 运 行 后 ， 在 内 存 中 还 是 会 还 原 出 来 的 ， 一 般 的 杀 毒 软 件 都 带 有 内 存 监 控 功 能 ， 可 以 将 木 马 程 序 在 内 存 中 拦 截 下 来 。 因 此 ， 勤 升 级 杀 毒 软 件 也 是 防 范 N T F S 数 据 流 木 马 比 较 有 效 的 办 法 。 也 有 杀 毒 软 件 利 用 数 据 流 的 特 性 , 如 卡 巴 斯 基 扫 描 过 文 件 之 后 , 就 以 数 据 流 的 形 式 标 记 为 白 名 单 , 这 样 却 导 致 用 户 的 硬 盘 空 间 被 大 量 占 用 了 , 所 谓 的 卡 巴 斯 基 吃 硬 盘 就 是 这 样 , 造 成 多 少 用 户 的 困 扰 阿 . 文 章 来 源 ： h t t p s : / / b l o g . c s d n . n e t / v i v i l o r n e / a r t i c l e / d e t a i l s / 3 8 4 1 5 0 9
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理