NTFS诡异的数据流文件ADS

简介

ADS全名叫做Alternate data streams,是NTFS的一个特性，它允许除一个文件文件主流之外，还可以拥有很多其他流，这些其他流我们在资源管理器中是看不到的，

而且即使知道了ADS文件的名字一时无法删除的，因为Del指令不支持ADS文件的删除。

这个特性是为了兼容Macintosh的HFS文件系统存在的，不过对于windows系统本身它十分鸡肋，和windows本身的兼容也不是很好，

基本指令

ADS的创建分为两种，单独存在的和依附于文件的,不仅仅局限于txt文本，图片声音可执行文件多可以作为流文件来存在。

单独存在流：

echo "this is a stream file" > :stream.txt
type d:\winnt\notepad.exe > :np.exe

依附于文件流：

被依附的主文件内容不会改变，也不会改变文件大小，而且需要此文件的写权限。

echo "this is a stream file" > main.txt:stream.txt
type d:\winnt\notepad.exe > main.txt:np.exe

查看流文件:

使用type edit等命令读取流文件时会报错，因为命令号也不能很好地支持ADS

notepad test.txt:stream.txt

清除主文件中附加的流:

删除上层目录，或者切换文件格式到FAT也可以

d:\ads>type myfile.txt > myfile.bat
d:\ads>del myfile.txt
d:\ads>ren myfile.b