Podpora ADS (Alternate Data Stream)

[zarevak]

Dobrý den,
podle příspěvku Petra Šolína Altap neplánuje v brzké době zapracovat na podpoře Wikipedia:ADS.
Protože v tomto fóru neexistuje žádné vlákno týkající se ADS, tak se zde pokusím shrnout věci, které s ADS souvisí a které bych si v SS přál vidět a doufám, že se někdo přidá se svými nápady

SS zatím ve spojitosti s ADS umí:
1) Upozornit na ztrátu důležitých ADS při kopírování z NTFS na FAT/FAT32 (včetně seznamu těchto stramů)
2) Vytvořit prázdný ADS pomocí Shift+F4 a zadání plného jména
3) Otevřít v externím editoru ADS pomocí Shift+F4 - zde BUG s Notepadem
4) Kopírovat/přesunout soubor včetně všech jeho ADS

SS neumí:
1) Zobrazit seznam alternativních streamů (krom případu jejich možné ztráty viz výše)
2) Jakkoliv otevřít ADS v Internal Vieweru (při zadání plného názvu nahlásí, se soubor neexistuje)
3) Zobrazit celkovou velikost souboru včetně všech ADS - Ctrl+Q zobrazí velikost souboru na disku BEZ ADS i když ADS mají několik KiB/MiB (Explorer je na tom stejně) - a pak: kam se nám to ztrácí to volné místo?
4) Zobrazit velikost jednotlivých ADS
5) "Exportovat" ADS nějakého souboru do normálního souboru
6) Mazat jednotlivé ADS ze souboru

Microsoft na tom s podporou ADS v Windows Exploreru není lépe, ale ve svých produktech plánuje ADS více a více využivat. Například ve Windows Mail (následník Outlook Express) bude každý email uložen jako soubor na disku v původním MIME formátu a dodatečné informace budou uloženy v XML v alternativním streamu.
Více viz video na Channel 9: The new Outlook Express: Windows Mail demoed
8:30 se začne mluvit o uložení mailů na disku
10:15 padne dotaz na uložení dalších informací (vlaječky, klíčová slova, ...)

[micro]

Dobry den.

Vyrazne sa pridavam k tomuto navrhu. ADS su velmi uzitocnou ale zaroven velmi zneuzitelnou vlastnostou NTFS. Priame zobrazovanie v SS by mohlo niekedy usetrit dost casu pri hladani problemu (napr. malware) - je zalostne kolko malo antispy-softverov vie narabat s ADS.

[xm]

Zdravim,

planuje Altap nejaky update kolem ADS?

Zejmena by mne potesila vestavena podpora pro detekci/zviditelneni a zakl.manipulaci s ADS, zatim k tomu ucelu pouzivam StrmExt shell-extension od Microsoftu:

http://msdn.microsoft.com/en-us/library/ms810604.aspx

Instalace jednoducha - staci strmext.dll a oba *.vbs fajly strcit do ..\system32 a zaregistrovat (regsvr32 StrmExt.dll). Pak se ve vlastnostech souboru objevi dalsi zalozka "Streams" a ADS lze editovat i mazat.

- soubor NTFSExt.exe obsahuje i zdrojaky, takze 1/2 prace je hotovo

Jo a shredder plugin Salamandera ma obcas problem se soubory s ADS.

[David]

Zdravim,

pridavam se ke kolegum, zobrazovani ADS hlavne na systemovych souborech i slozkach by se mi hodilo, samozrejmne i jejich (ADS) mazani.

U malware je ads problematistejsi, muze byt skryte rootkitem napr. Rustock ma nabaleno i na slozku system32.

P.S: vim asi budete namitat specializovanymi programy typu HJT (obsahuje ADSspy), gmer, ComboFix aj.

[Ether]

Jo a shredder plugin Salamandera ma obcas problem se soubory s ADS.

Popsáno například v Shred files give's errors...

AS neumí vyhledávat v ADS.
AS neumí upravovat standardní ADS jako SummaryInformation, viz. Descript.ion support.

V dialogu Confirm Alternate Data Stream Loss je seznam streamů zobrazen docela nevyhovujícím způsobem - seznam je v délce omezen. Je sice možné ho prolistovat, ale listování labelem je příšernost. Jméno SummaryInformation je trošku zkomoleno, nevím, jestli úmyslně. Otázkou je, jestli zobrazovaný (např. v LADS) znak ♣ odpovídá uloženému 0x05. Přiložený screenshot demonstruje tyto záležitosti.

[Jan Patera]

Jméno SummaryInformation je trošku zkomoleno, nevím, jestli úmyslně. Otázkou je, jestli zobrazovaný (např. v LADS) znak ♣ odpovídá uloženému 0x05.

Ano, skutecne. Znak 0x05 je soucasti jmena ADS "\x05SummaryInformation". Stejne tak ADS s JPEG nahledem se jmenuje "\x05Q30lsldxJoudresxAaaqpcawXc"