什麼是NTFS資料流

標籤：

隨著殺毒軟體功能的日益強大，木馬病毒已經不再局限於設定檔案 屬性來達到隱藏自身的目的。一種更為隱蔽，危害更為巨大的檔案隱藏方式正逐漸被木馬所利用，通過這種方法，木馬可以在系統中“隱形”，甚至躲過絕大多數殺 毒軟體的查殺，這種方法就是利用NTFS資料流隱藏木馬。NTFS資料流本是NTFS檔案格式中的一種正常功能，但是卻可以被一些木馬病毒所利用，而殺毒 軟體對NTFS資料流檔案的檢測能力十分薄弱，很多木馬病毒就趁此機會，利用NTFS資料流將自己完全隱藏在系統中。下面就讓我們和NTFS資料流木馬來 一次“親密接觸”。

圖一：ntfs格式

一、什麼是NTFS資料流？

在介紹NTFS資料流之前，我們先簡單瞭解一下NTFS檔案系統。NTFS是微軟Windows NT核心的系列作業系統支援的、一個特別為網路和磁碟配額、檔案加密等管理安全特性設計的磁碟格式。NTFS比FAT檔案系統更穩定，更安全，功能也更為強大。如果要讓FAT檔案系統轉換為NTFS檔案系統，可以在“命令提示字元”中輸入“convert 分區盤符: /fs:ntfs”，即可將該分區的檔案系統轉換為NTFS。

NTFS交換資料流（alternate data streams，簡稱ADS）是NTFS磁碟格式的一個特性，在NTFS檔案系統下， 每個檔案都可以存在多個資料流，就是說除了主檔案流之外還可以有許多非主檔案流寄宿在主檔案流中。它使用資源派生來維持與檔案相關的資訊，雖然我們無法看 到資料流檔案，但是它卻是真實存在於我們的系統中的。建立一個資料交換流檔案的方法很簡單，命令為“宿主檔案：準備與宿主檔案關聯的資料流檔案”。

圖二：資料流

那麼為什麼我們無法看到系統中的資料流檔案呢，是Windows為了防止我們誤刪資料流檔案而故意設定的障礙嗎？是否定的，我們之所以無法在系 統中看到NTFS資料流檔案，是因為Windows中的很多工具對資料流檔案的支援並不是很好，就像“資源管理員”，我們無法在“資源管理員”中看到有關 資料流檔案的變化。這種缺陷讓木馬有機可趁，通過NTFS資料流將自己隱藏起來，從此就從“資源管理員”中消失了。例如Rootkit木馬中的檔案隱藏功 能，就是利用了NTFS資料流。

更多相關內容可以關注ntfs for mac官網。

什麼是NTFS資料流