NTFS代替データストリームの分析 (lfnutils, AlternateStreamView)

  • NTFS代替データストリームを持つフォルダ・ファイルを操作するためのツール
  • Windows Vista以降では DIR コマンドのオプション「/r」で代替データストリームを確認すること可能。

参考リンク

lfnutils (Long File Name Utilities)

streamls.exe指定したファイル(フォルダ)が持つデータストリームを全て表示する
lfntype.exe指定したファイル(フォルダ)の代替データストリームの内容を表示する
lfnexec.exeデータストリーム上にあるバイナリを実行する
lfntouch.exe名前付きデータストリームを持つ空のファイルを作成する
lfnwrite.exe作成したデータストリーム(ファイル)に文字列を入力する
lfndel.exe指定したデータストリーム部分のみを削除する

使用例

  • poc.exe をデータストリームに配置し、そのファイルをツールで確認
>type poc.exe > test.txt:poc.exe
>
>dir test.txt
 ドライブ D のボリューム ラベルは DATA です
 ボリューム シリアル番号は C8C4-0A09 です

 D:\PGM\lfnutils\bin のディレクトリ

2012/11/01  17:21                 0 test.txt
               1 個のファイル                   0 バイト
               0 個のディレクトリ  30,592,978,944 バイトの空き領域
>
>streamls.exe -l test.txt
FILE: D:\PGM\lfnutils\bin\test.txt
    Stream             200704 poc.exe
>

AlternateStreamView

forensics/lfnutils.txt · 最終更新: 2012/11/01 10:35 by kikuzou
 
特に明示されていない限り、本Wikiの内容は次のライセンスに従います: CC Attribution-Share Alike 4.0 International
Recent changes RSS feed Donate Powered by PHP Valid XHTML 1.0 Valid CSS Driven by DokuWiki