Możesz ukryć dowolny plik w innym pliku, wpisując:
type sol.exe > container.txt:sol.exe
i aby uruchomić ukryty plik, użyj:
start c:\hide\container.txt:sol.exe
Ale szaloną częścią tego jest to, że nie zwiększa rozmiaru pliku (więc jest całkowicie ukryty).
A jeśli usuniesz plik z ukrytymi elementami w środku, ukryte elementy nie zostaną usunięte. Po prostu użyj:
more < container.txt:sol.exe > sol.exe
Dlaczego NTFS na to pozwala? Wydaje się, że to najlepszy sposób na ukrycie wirusa.
windows
ntfs
virus
alternate-data-stream
Kredns
źródło
źródło
Odpowiedzi:
Istnieją dwie strony tego pytania. Po pierwsze, dlaczego ta funkcja w ogóle istnieje, a po drugie, dlaczego interfejs GUI (lub wiersz polecenia) nie ułatwia przeglądania i zarządzania tą funkcją.
Istnieje, ponieważ jest przydatny. Kilka innych platform obsługuje wiele strumieni danych na plik. Na Macu nazywano je na przykład widelcami . Jestem dość pewien, że podobne rzeczy istniały w świecie komputerów mainframe, ale nie mogę dziś wskazać żadnych wyraźnych przykładów.
W nowoczesnym systemie Windows służy do przechowywania dodatkowych atrybutów pliku. Możesz zauważyć, że pole Właściwości dostępne w Eksploratorze Windows ma kartę Podsumowanie, która w widoku prostym (w systemie Windows XP twój przebieg będzie się różnić w innych smakach) zawiera kilka przydatnych pól, takich jak Tytuł, Temat, Autor i itd. Te dane są przechowywane w alternatywnym strumieniu, zamiast tworzyć jakąś bazę danych samochodów bocznych, aby pomieścić wszystko, co zbyt łatwo byłoby oddzielić od pliku.
Alternatywny strumień służy również do przechowywania znacznika, który mówi, że plik pochodzi z niezaufanego źródła sieciowego, które jest pobierane zarówno przez Internet Explorera, jak i Firefoxa.
Trudne pytanie brzmi: dlaczego nie ma lepszego interfejsu użytkownika do zauważania, że strumienie w ogóle istnieją, i dlaczego można umieścić w nich zawartość wykonywalną, a co gorsza, wykonać ją później. Jeśli jest tutaj błąd i ryzyko bezpieczeństwa, to jest to.
Edytować:
Zainspirowany komentarzem do innej odpowiedzi, oto jeden ze sposobów, aby dowiedzieć się, czy Twoja ochrona antywirusowa i / lub ochrona przed złośliwym oprogramowaniem jest świadoma alternatywnych strumieni.
Uzyskaj kopię pliku testowego EICAR . Jest to 68 bajtów tekstu ASCII, który okazuje się być poprawnym plikiem wykonywalnym x86. Mimo że jest całkowicie nieszkodliwy, przemysł antywirusowy zgodził się na wykrycie go jak prawdziwego wirusa. Pomysłodawcy sądzili, że testowanie oprogramowania AV z prawdziwym wirusem byłoby trochę zbyt podobne do testowania alarmu pożarowego poprzez zapalanie kosza na śmieci w ogniu ...
Plik EICAR to:
Zapisz go z rozszerzeniem,
.COMa uruchomi się (chyba że twój AV zwraca uwagę) i wydrukuje powitanie.Warto zapisać go w alternatywnym strumieniu danych i przeprowadzić skanowanie ...
źródło
Ta funkcja jest wymagana w przypadku funkcji wieloplatformowej systemu Windows Server: usługi dla komputerów Mac.
Pozwala to serwerowi Windows działającemu na współużytkowaniu NTFS do komputerów Mac poprzez AFP. Aby ta funkcja działała, system plików NTFS musi obsługiwać widelce i działa od pierwszego dnia.
A zanim zapytasz, czy ta funkcja jest nadal używana? Tak, mam go uruchomionego i używanego codziennie na serwerze w kliencie, który obsługuję.
Główny problem bezpieczeństwa pojawia się, gdy ludzie i aplikacje zapominają lub nie zdają sobie sprawy z tego, że tam są.
Prawdopodobnie powinna istnieć opcja włączenia widelców do całkowitego rozmiaru pliku lub pokazania ich w Eksploratorze Windows.
źródło
Wyobrażam sobie, że jednym z głównych zastosowań (być może nawet zamierzonego) byłoby przezroczyste umożliwienie dodawania dowolnego rodzaju metadanych do pliku. Powodem, dla którego rozmiar pliku się nie zmienia, jest to, że w tym scenariuszu nie chcesz, aby plik wyglądał ani zachowywał się inaczej, aby aplikacja inicjująca nie polegała na jakimś aspekcie wyglądu pliku.
Mogę sobie wyobrazić ciekawe zastosowania na przykład w IDE, gdzie czasami wiele plików jest zaangażowanych w jedną jednostkę (plik kodu / plik formularza itp.), Które można dołączyć do oryginalnego pliku w ten sposób, aby nie mogły przypadkowo się rozdzielić.
Wierzę również, że istnieje polecenie znalezienia wszystkich takich „załączników” w danym drzewie katalogów, więc nie są one w rzeczywistości całkowicie ukryte. Zaskoczyłoby mnie to również, gdyby lepsze skanery antywirusowe nie były tego świadome i sprawdzały te „ukryte” obszary, ale można to sprawdzić, celowo dołączając zainfekowany plik wykonywalny do pliku tekstowego i sprawdzając, czy zostanie on wykryty.
źródło
Oto dobry artykuł na temat potencjalnej luki w zabezpieczeniach stwarzanej przez alternatywne strumienie danych .
źródło
Dobre pytanie, aż do zeszłego roku nie wiedziałem właściwie o ADS i od wielu lat jestem programistą Windows. Mogę zagwarantować, że nie jestem w tym sam.
Jeśli chodzi o możliwość sprawdzania alternatywnych danych w plikach, znalazłem przydatne małe narzędzie o nazwie Lads dostępne z oprogramowania Franka Heyne. Może wyświetlać ADS we wszystkich plikach w danym katalogu, nawet w plikach zaszyfrowanych (a także w podkatalogach).
źródło