DEV Community
·
替代数据流（ADS）：Windows文件系统漏洞
💡
原文英文，约500词，阅读约需2分钟。
📝
内容提要
替代数据流（ADS）是一种NTFS文件系统漏洞，攻击者可将恶意软件隐藏在文件的替代数据流中，从而规避传统杀毒软件的检测。通过利用元数据，恶意代码可以藏于合法文件中，避免被发现。
🎯
关键要点
- 替代数据流（ADS）是一种NTFS文件系统漏洞，攻击者可以将恶意软件隐藏在文件的替代数据流中。
- ADS允许在文件的替代流中存储额外数据，这些数据不会影响文件的原始数据。
- 每个在NTFS中创建的文件都有两个数据流：默认数据流和资源流，资源流通常包含文件的元数据。
- 攻击者利用元数据将恶意代码存储在合法文件中，以规避传统杀毒软件的检测。
- 这种技术可以有效避开基于签名的杀毒软件和静态扫描工具。
- 通过特定命令，攻击者可以将可执行文件的负载传递到文本文件的ADS中，而文件大小仍然显示为零。
- 需要提升权限才能执行隐藏在替代数据流中的恶意代码。
❓
延伸问答
什么是替代数据流（ADS）？
替代数据流（ADS）是NTFS文件系统的一种特性，允许在文件的替代流中存储额外数据，这些数据不会影响文件的原始数据。
攻击者如何利用替代数据流隐藏恶意软件？
攻击者可以将恶意代码存储在合法文件的替代数据流中，从而规避传统杀毒软件的检测。
替代数据流如何影响文件的大小显示？
即使在替代数据流中存储了数据，文件的大小仍然可以显示为零，因为原始文件数据未被改变。
使用替代数据流的恶意软件如何规避杀毒软件？
这种技术可以有效避开基于签名的杀毒软件和静态扫描工具，因为恶意代码隐藏在合法文件中。
执行隐藏在替代数据流中的恶意代码需要什么条件？
需要提升权限才能执行隐藏在替代数据流中的恶意代码。
替代数据流的安全挑战有哪些？
替代数据流面临的安全挑战包括被攻击者利用来隐藏恶意软件，从而绕过安全检测。
➡️
