NTFS代替データストリームの分析 (lfnutils, AlternateStreamView)

参考リンク

lfnutils (Long File Name Utilities)

streamls.exe指定したファイル(フォルダ)が持つデータストリームを全て表示する
lfntype.exe指定したファイル(フォルダ)の代替データストリームの内容を表示する
lfnexec.exeデータストリーム上にあるバイナリを実行する
lfntouch.exe名前付きデータストリームを持つ空のファイルを作成する
lfnwrite.exe作成したデータストリーム(ファイル)に文字列を入力する
lfndel.exe指定したデータストリーム部分のみを削除する

使用例

>type poc.exe > test.txt:poc.exe
>
>dir test.txt
 ドライブ D のボリューム ラベルは DATA です
 ボリューム シリアル番号は C8C4-0A09 です

 D:\PGM\lfnutils\bin のディレクトリ

2012/11/01  17:21                 0 test.txt
               1 個のファイル                   0 バイト
               0 個のディレクトリ  30,592,978,944 バイトの空き領域
>
>streamls.exe -l test.txt
FILE: D:\PGM\lfnutils\bin\test.txt
    Stream             200704 poc.exe
>

AlternateStreamView