Чому чорт дозволяє NTFS допускати невидимі виконувані файли?

Ви можете приховати будь-який файл всередині іншого файлу, просто ввівши:

type sol.exe > container.txt:sol.exe

а для запуску прихованого файлу просто використовуйте:

start c:\hide\container.txt:sol.exe

Але божевільна частина цього в тому, що він не збільшує розмір файлу (тому він повністю прихований).

Якщо ви видалите файл із прихованими речами всередині, приховані речі не видаляються. Просто використовуйте:

more <  container.txt:sol.exe > sol.exe

Чому NTFS це дозволяє? Здається, найкращий спосіб приховати вірус.

У цього питання є дві сторони. Перше - чому ця функція взагалі існує, а друге - чому графічний інтерфейс (або командний рядок) не полегшує перегляд і управління ними.

Він існує тому, що корисний. Кілька інших платформ підтримують кілька потоків даних у файл. На Mac, наприклад, їх називали вилами . Я абсолютно впевнений, що подібні речі існували у світі мейнфреймів, але я не можу прикласти пальців до явних прикладів сьогодні.

У сучасних Windows він використовується для зберігання додаткових атрибутів для файлу. Ви можете помітити, що у вікні "Властивості", доступному в Провіднику Windows, є вкладка "Зведення", що в простому перегляді (я перебуваю на Windows XP, ваш пробіг буде відрізнятися від інших ароматів) містить купу корисних полів, таких як Назва, Тема, Автор та т.д. Ці дані зберігаються в альтернативному потоці, а не створюють якусь базу даних автомобіля для зберігання всього, що легко відокремиться від файлу.

Альтернативний потік також використовується для розміщення маркера, який говорить про те, що файл прийшов з ненадійного мережевого джерела, який застосовується Internet Explorer і Firefox при завантаженні.

Важким питанням є те, чому не існує кращого інтерфейсу користувача для того, щоб помітити, що потоки взагалі існують, і чому можна помістити в них виконуваний вміст, а ще гірше - виконати його пізніше. Якщо тут є помилка та ризик безпеки, це все.

Редагувати:

Ось натхненний коментарем до іншої відповіді, ось один із способів з’ясувати, чи захищають ваш антивірусний та / або захист від зловмисного програмного забезпечення альтернативні потоки.

Отримайте копію тестового файлу EICAR . Це 68 байт тексту ASCII, який також є дійсним виконуваним файлом x86. Незважаючи на те, що це абсолютно нешкідливо, антивірусна індустрія погодилася виявити, ніби це справжній вірус. Оригінатори думали, що тестування програмного забезпечення AV на справжній вірус буде занадто схожим на тестування пожежної сигналізації, запалюючи кошик для сміття у вогні ...

Файл EICAR:

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

Збережіть його за допомогою розширення, .COMі воно виконає (якщо ваш AV не звертає уваги) та надрукує привітання.

Було б корисно зберегти його в альтернативному потоці даних та запустити сканування ...

Ця функція потрібна для крос-платформної функції Windows Server: послуги для Mac.

Це дозволяє серверу Windows, який працює на NTFS-спільному доступі до Mac через AFP. Щоб ця функція працювала, файлова система NTFS повинна підтримувати вилки, і вона працює з першого дня.

І перш ніж запитати, чи використовується ще ця функція? Так, це я працюю і використовую щодня на сервері у клієнта, якого я підтримую.

Основне питання безпеки виникає, коли люди та програми забувають або не усвідомлюють, що він є.

Напевно, має бути варіант, хоча включити виделки в загальний розмір файлу або показати їх у Windows Explorer.

Я думаю, що одним із основних застосувань (можливо, навіть передбачуваного використання) було б прозоро дозволити додавання будь-яких видів метаданих до файлу. Причина, по якій розмір файлу не змінюється, полягає в тому, що в цьому випадку ви не хочете, щоб файл виглядав або поводився інакше, щоб узагальнена програма не покладалася на якийсь аспект того, як виглядає файл.

Я міг би уявити собі цікаве використання в IDE, наприклад, коли іноді залучається декілька файлів для формування єдиного блоку (файл коду / файл форми тощо), який можна приєднати до вихідного файлу таким чином, щоб вони не могли випадково відокремитись.

Я також вважаю, що є команда знайти всі такі «вкладення» у заданому дереві каталогів, тому вони насправді не є повністю прихованими. Мене також здивувало б, якщо кращі сканери вірусів цього не знають і перевіряють ці «приховані» області, але ви можете це перевірити, навмисно приєднавши заражений виконуваний файл до текстового файлу і побачивши, чи він підходить.

Ось хороша стаття про потенційну вразливість безпеки, яку створюють альтернативні потоки даних .

Добре запитання, я не був належним чином обізнаний з ADS до минулого року, і я був розробником Windows протягом багатьох років. Я можу гарантувати, що я не одна в цьому.

Що стосується можливості перевірки альтернативних даних про файли, я знайшов корисний маленький інструмент під назвою Lads, доступний у програмному забезпеченні Frank Heyne. Він може перераховувати ADS на всіх файлах у заданій директорії, навіть на зашифрованих файлах (а також у підкаталогах).