Puede ocultar cualquier archivo dentro de otro archivo simplemente escribiendo:
type sol.exe > container.txt:sol.exe
y para ejecutar el archivo oculto solo use:
start c:\hide\container.txt:sol.exe
Pero la parte loca de esto es que no aumenta el tamaño del archivo (por lo que está totalmente oculto).
Y si elimina el archivo con las cosas ocultas dentro, las cosas ocultas no se eliminan. Solo usa:
more < container.txt:sol.exe > sol.exe
¿Por qué NTFS permite esto? Parece la mejor manera de ocultar un virus.
windows
ntfs
virus
alternate-data-stream
Kredns
fuente
fuente
Respuestas:
Hay dos lados en esta pregunta. La primera es por qué existe esta característica, y la segunda es por qué la GUI (o el símbolo del sistema) no hace que sea más fácil verla y administrarla.
Existe porque es útil. Varias otras plataformas admiten múltiples flujos de datos por archivo. En la Mac, se llamaban tenedores , por ejemplo. Estoy razonablemente seguro de que existían cosas similares en el mundo del mainframe, pero hoy no puedo poner mis dedos en ningún ejemplo explícito.
En Windows moderno, se utiliza para mantener atributos adicionales para un archivo. Puede notar que el cuadro Propiedades disponible en el Explorador de Windows tiene una pestaña Resumen que en Vista simple (estoy en Windows XP, su kilometraje será diferente en los otros sabores) incluye un montón de campos útiles como Título, Asunto, Autor y etc. Esos datos se almacenan en una secuencia alternativa, en lugar de crear algún tipo de base de datos lateral para contener todo lo que se separaría del archivo con demasiada facilidad.
También se usa una secuencia alternativa para contener el marcador que dice que el archivo proviene de una fuente de red no confiable que aplica tanto Internet Explorer como Firefox en las descargas.
La pregunta difícil es por qué no hay una mejor interfaz de usuario para darse cuenta de que las transmisiones existen en absoluto, y por qué es posible poner contenido ejecutable en ellas y, peor aún, ejecutarlo más tarde. Si hay un error y un riesgo de seguridad aquí, este es el problema.
Editar:
Inspirado por un comentario a otra respuesta, aquí hay una forma de averiguar si su protección antivirus y / o antimalware tiene conocimiento de transmisiones alternativas.
Obtenga una copia del archivo de prueba EICAR . Son 68 bytes de texto ASCII que también es un ejecutable x86 válido. Aunque es completamente inofensivo, la industria antivirus ha acordado que se detecte como si fuera un virus real. Los creadores pensaron que probar el software AV con un virus real sería demasiado parecido a probar la alarma de incendio encendiendo la papelera en llamas ...
El archivo EICAR es:
Guárdelo con la extensión
.COMy se ejecutará (a menos que su AV esté prestando atención) e imprima un saludo.Sería informativo guardarlo en un flujo de datos alternativo y ejecutar un escaneo ...
fuente
Esta característica es necesaria para una función multiplataforma de Windows Server: servicios para mac.
Esto permite que un servidor de Windows que se ejecuta en NTFS comparta con Mac a través de AFP. Para que esta característica funcione, el sistema de archivos NTFS debe ser compatible con las bifurcaciones, y lo ha hecho desde el primer día.
Y antes de preguntar, ¿esta característica todavía se usa? Sí, lo tengo ejecutándose y en uso a diario en un servidor en un cliente que soporto.
El principal problema de seguridad se produce cuando las personas y las aplicaciones olvidan o no se dan cuenta de que está allí.
Sin embargo, probablemente debería haber una opción para incluir los tenedores en el tamaño total del archivo o mostrarlos en el explorador de Windows.
fuente
Me imagino que uno de los usos principales (tal vez incluso el uso previsto) sería permitir la adición transparente de cualquier tipo de metadatos a un archivo. La razón por la que el tamaño del archivo no cambia es que, en este escenario, no desea que el archivo se vea o se comporte de manera diferente, ya que la aplicación de origen se basa en algún aspecto de la apariencia del archivo.
Podría imaginar usos interesantes en IDEs, por ejemplo, donde a veces se involucran múltiples archivos para formar una sola unidad (archivo de código / archivo de formulario, etc.), que se puede adjuntar al archivo original de esta manera para que no puedan separarse accidentalmente.
También creo que hay un comando para encontrar todos esos 'archivos adjuntos' en un árbol de directorios dado, por lo que en realidad no están completamente ocultos. También me sorprendería si los mejores escáneres de virus no son conscientes de esto y comprueban estas áreas 'ocultas', pero puede verificarlo adjuntando deliberadamente un ejecutable infectado a un archivo de texto y ver si se detecta.
fuente
Aquí hay un buen artículo sobre la posible vulnerabilidad de seguridad planteada por Alternate Data Streams .
fuente
Buena pregunta, no estaba al tanto de ADS hasta el año pasado y he sido desarrollador de Windows durante muchos años. Puedo garantizar que no estoy solo en esto.
Con respecto a la posibilidad de verificar datos alternativos en los archivos, encontré la pequeña herramienta útil llamada Lads disponible del software Frank Heyne. Puede enumerar ADS en todos los archivos en un directorio dado, incluso en archivos cifrados (y también dentro de subdirectorios).
fuente