一种基于ADS的文件隐藏技术研究
信息安全与通信保密・
2009.11
10二手房过户费怎么算
5
陈　欣，施　勇，薛　质，陈俊杰
（上海交通大学电子工程系，上海　２００２４０）
【摘  要】文件隐藏技术是信息安全领域的关键技术，该技术对于重要信息的保护以及病毒、木马等恶
意软件的查杀和防范都有着极其重要的价值。文中介绍了ＮＴＦＳ的特征以及ＡＤＳ的特性，简要介绍了ＮＴＦＳ上较重要的元文件功能及相关数据结构。在此基础上提出了一种基于ＮＴＦＳ的ＡＤＳ特性的新型文件隐藏方案，给出了需要使用的一系列数据结构，具体讨论了该方案各步骤的技术实现细节，并且指出了如何提取那些利用该方法隐藏文件的思路。经过检验，该方法具有较高的隐蔽性和隐藏文件可恢复性。
【关键词】文件隐藏；新技术文件系统（ＮＴＦＳ）；交换数据流；数据结构
【中图分类号】ＴＰ３０９．２    　【文献标识码】Ａ    【文章编号】１００９－８０５４（２００９）　１１－０１０５－０４
Study on a New Type of File Hiding on ADS
CHEN Xin, SHI Yong, XU Zhi, CHEN Junjie
(Department of Electronic and Engineering, Shanghai Jiaotong University, Shanghai 200240, China)
【Abstract 】File hiding is a key technology in information security field, study on the File hiding technology is valuable to protecting some important files and preventing and killing computer viruses or Trojans. A study on the NTFS volumes and the characteristics of ADS is presented firstly, and a bri
ef introduction of some important meta files on NTFS and some relevant data structures are provided. Based on the study a new type of file hiding method is proposed, and the detailed solutions of specific steps of the method are discussed. This article also illuminates how to extract the hidden files using this method. Using this new method the hidden files have higher concealment and recoverability.【Keywords 】file hiding; NTFS; ADS; data structure
一种基于ADS 的文件隐藏技术研究
隐藏文件怎么显示０  引言
ＮＴＦＳ（Ｎｅｗ　Ｔｅｃｈｎｏｌｏｇｙ　Ｆｉｌｅ　Ｓｙｓｔｅｍ）是一种具有较好容错性和安全性的文件系统。研究ＮＴＦＳ的特性以及ＮＴＦＳ下文件的存储和隐藏方式，对于病毒和木马的防范以及数据恢复有着重要价值。文中基于ＮＴＦＳ磁盘上的文件存储方式，以及交换数据流（Ａｌｔｅｒｎａｔｅ　Ｄａｔａ　Ｓｔｒｅａｍｓ，ＡＤＳ）特性，提出了一种新型的文件隐藏方法，并对技术方案进行了整体设计。
１  ＮＴＦＳ文件系统以及ＡＤＳ概述
1.1 NTFS 的特征和重要元文件
ＮＴＦＳ以簇作为磁盘空间分配和回收的基本单位，在ＮＴＦＳ上要定位一个簇需要用到逻辑簇号（Ｌｏｇｉｃａｌ　ＣｌｕｓｔｅｒＮｕｍｂｅｒ，ＬＣＮ）和虚拟簇号（Ｖｉｒｔｕａｌ　Ｃｌｕｓｔｅｒ　Ｎｕｍｂｅｒ，ＶＣＮ）。ＬＣＮ是对整个卷的簇从头到尾以０号起始的编号；ＶＣＮ则是对属于特定文件的簇从头到尾以０号起始的编号。
元文件（Ｍｅｔａｄａｔａ　Ｆｉｌｅ）是ＮＴＦＳ驱动程序管理卷时所必须的系统文件，ＮＴＦＳ中（ＮＴＦＳ　ｖ３．１　ｆｏｒ　ＷｉｎｄｏｗｓＸＰ）的元文件共有２３个，这些元文件对于用户来说是不可见的。下面介绍几个ＮＴＦＳ中比较重要的元文件：
①　主控文件表￥ＭＦＴ（Ｍａｓｔｅｒ　Ｆｉｌｅ　Ｔａｂｌｅ），是ＮＴＦＳ卷中最重要的系统文件，包含了卷中所有文件的记录信息，每个记录的大小都是固定的，为１　ＫＢ；
②　位图文件￥Ｂｉｔｍａｐ，记录卷的分配状态，占用￥ＭＦＴ中的第７个元文件记录。￥Ｂｉｔｍａｐ中的一位与ＮＴＦＳ卷中的一簇对应，ｌ表示该簇已分配，０表示未分配；
光纤宽带猫③　引导文件￥Ｂｏｏｔ，占用￥ＭＦＴ中的第８个元文件记录。￥Ｂｏｏｔ一般位于ＮＴＦＳ卷上的０号簇的第１个扇区，包含用于加载卷时所需的ＢＰＢ（ＢＩＯＳ　Ｐａｒａｍｅｔｅｒ　Ｂｌｏｃｋ）表［１］。
除了上面介绍的３个元文件，ＮＴＦＳ上还有￥ＭＦＴＭｉｒｒ、
106
￥ＬｏｇＦｉｌｅ、￥Ｖｏｌｕｍｅ等元文件。1.2 NTFS 交换数据流ADS 简介
ＮＴＦＳ将文件／目录作为属性和属性值（属性的内容）的集合来处理，一个文件可以有若干不同的属性，也可以同时拥有若干个相同的属性。数据流属性￥ＤＡＴＡ就可以有两种：未命名的数据流属性和命名的数据流属性。未命名数据流通常容纳用户存储的数据，它的大小就是文件的大小；而命名数据流一般都是操作系统为特定目的设置的，其大小和内容往往对用户是不可见的，这种命名数据流又称作ＮＴＦＳ交换数据流（ＡＤＳ，Ａｌｔｅｒｎａｔｉｖｅ　Ｄａｔａ　Ｓｔｒｅａｍｓ）［２］。
根据已知的文档显示，在Ｗｉｎｄｏｗｓ　ＸＰ操作系统以及之前的所有Ｗｉｎｄｏｗｓ版本中，没有自带任何能够查询交换数据流功能的程序。因此，ＮＴＦＳ交换数据流有一定的隐蔽性，这让一些恶意软件有了可趁之机，通过ＡＤＳ将自己隐藏起来，从此就从“资源管理器”中消失了。
２  基于ＡＤＳ的新型文件隐藏的方案设计
虽然利用ＡＤＳ隐藏文件具有一定的隐蔽性，但是目前的一些ＡＤＳ检索软件已经能够查并更改ＡＤＳ，而且一些主流杀毒软件已经能对基于ＡＤＳ的病毒和木马进行查杀。
这里所讨论的基于ＮＴＦＳ的ＡＤＳ的新型文件隐藏方案的总体思路是，将要隐藏的文件数据通过ＡＤＳ的方式写到ＮＴＦＳ卷上，然后更改文件记录的相关结构，使相关软件无法对其查；对隐藏的文件数据进行提取和恢复时，可以通过隐藏时所记录的数据在卷上的具体位置，直接到并提取文件数据，其具体流程如图　１所示。
其主要流程如下：
①　将需要隐藏的文件写入宿主文件／目录的ＡＤＳ中；②　备份与ＮＴＦＳ卷上簇的分配状态有关的元文件￥Ｂｉｔｍａｐ，保存当前卷上簇的分配情况；
③　查宿主文件／目录在￥ＭＦＴ中的记录位置；④　记录下隐藏数据所在的簇以备恢复时使用，簇信息位于ＡＤＳ头结构中的运行列表中；
⑤　删除宿主记录中的ＡＤＳ的头结构，使查ＡＤＳ的程序无法到隐藏的数据；
⑥　将备份的￥Ｂｉｔｍａｐ覆盖现有的￥Ｂｉｔｍａｐ，以防止隐藏数据所占的簇被分配给其他文件。
如何定位文件记录以及如何定位文件的属性和属性值，是实现上述文件隐藏方案以及恢复隐藏文件的关键技术，此问题将在下面章节予以讨论。恢复隐藏文件时只需根据记录好的运行列表直接到ＮＴＦＳ卷上的相应位置，并把其中的数据复制到一个新的文件或直接复制到内存中去就可以了［３］。
３  具体技术实现
上述设计方案中涉及了许多关键的技术要点，本章将逐一进行讨论。首先，介绍一下设计方案中各步骤中频繁使用的有关运行列表的知识。3.1 运行列表(Run List)
感恩母亲的话10个字ＮＴＦＳ数据区管理采用索引存储，实际上一个运行就是若干个连续的簇。文件的每个非常驻属性都维护一个运行列表（Ｒｕｎ　Ｌｉｓｔ），运行列表是由一系列的运行定位组成的，每个定位存储一个相对于上一定位中ＬＣＮ的偏移量（可正可负）和该运行的簇数。下面以一个具体的运行列表为例，分析运行列表的相关结构。这是一个ＥＸＥ文件数据流属性的十六进制运行列表：“３２  ７７  １３  ０５  ８７  ０４  ３２８９  １Ａ  Ａ５  ９Ｅ  ＦＥ  ００  Ｆ０  ３５  Ｅ１”，该运行列表含有２个运行定位，其结构分析如下［４］　：
①　第１个字节“３２”说明后面的５个字节（３＋２）属于第一个运行定位，低２个字节０ｘ１３７７表示位于该运行中的簇数；高３个字节０ｘ０４８７０５是该运行相对于０号簇的偏移。也就是说，从０ｘ０４８７０５号簇开始到０ｘ０４９Ａ７Ｂ号簇都是属于该文件数据流属性的第一个运行；
②　同上，可以定位第二个运行，该运行中的簇数为０ｘ１Ａ８９个，相对于第一个运行的ＬＣＮ偏移值为０ｘＦＥ９ＥＡ５（－０ｘ０１６１５Ｂ），所以第二个运行的起始ＬＣＮ为０ｘ０３２５ＡＡ，结尾ＬＣＮ为０ｘ０３４０３２；
③　“００”表示该运行列表结束，为了补成８字节的倍数，随机使用３个字节占位。
图
１  新型文件隐藏设计方案
信息安全与通信保密・
2009.11
107
3.2 将隐藏数据写入NTFS 交换数据流
ＮＴＦＳ交换数据流可以直接在用户层创建，调用Ｗｉｎｄｏｗｓ提供的ＡＰＩ函数ＣｒｅａｔｅＦｉｌｅ一个创建名为“宿主文件／目录：准备与宿主文件关联的数据流文件”的文件，再调用ＷｒｉｔｅＦｉｌｅ函数将要隐藏的数据写入上面刚创建的文件中就行了。3.3 备份$Bitmap
备份￥Ｂｉｔｍａｐ的过程是：首先在￥ＭＦＴ中到￥Ｂｉｔｍａｐ的记录；然后在￥Ｂｉｔｍａｐ的￥Ｄａｔａ属性的头结构中到运行列表；最后根据运行列表到￥Ｂｉｔｍａｐ的文件内容并存储下来。由于￥ＭＦＴ和￥Ｂｉｔｍａｐ都是元文件，ＮＴＦＳ驱动程序出于对元文件的保护目的，没有向用户提供读写元文件的接口。下面通过寻ＮＴＦＳ卷的字节偏移的方法来定位￥ＭＦＴ和￥Ｂｉｔｍａｐ中的数据。
（１）　定位￥ＭＦＴ
定位￥ＭＦＴ要靠位置相对固定的分区引导扇区中的ＢＰＢ（Ｂｏｏｔ　Ｐａｒａｍｅｔｅｒ　Ｂｌｏｃｋ）表来完成，ＢＰＢ表位于０簇０扇区，是分区上第一段数据。ＮＴＦＳ卷的ＢＰＢ表简要数
据结构及说明如下：
ｔｙｐｅｄｅｆ　ｓｔｒｕｃｔ　ＮＴＦＳＢｏｏｔＰａｒａｍｅｔｅｒＢｌｏｃｋ｛　／／下面的偏移量都是相对于该结构开头的偏移
０ｘ３０  ＱＷＯＲＤ  ＭＦＴＳｔａｒＬＣＮ；　／／ＭＦＴ表的起始簇号ＬＣＮ｝ＣＮＴＦＳＢＰＢ；［５］
根据￥ＭＦＴ的起始ＬＣＮ，即可定位￥ＭＦＴ。
（２）　定位￥Ｂｉｔｍａｐ的数据
由于￥Ｂｉｔｍａｐ是￥ＭＦＴ上第７个元文件，并且￥ＭＦＴ中每个文件的记录占用１０２４字节，所以，￥Ｂｉｔｍａｐ记录的字节偏移量（相对于卷开始）＝￥ＭＦＴ起始ＬＣＮ×卷因子（簇的大小）＋１０２４×６。￥Ｂｉｔｍａｐ的文件记录以及数据存放的位置一般来讲是固定的。因此，可以直接用相对于￥Ｂｉｔｍａｐ文件记录开始的偏移量，到￥Ｂｉｔｍａｐ的数据运行列表，这个偏移量是０ｘ０１４０，从这个位置开始后面的８个字节就是￥Ｂｉｔｍａｐ的数据运行列表，并且它只含１个运行定位。根据前面所述运行列表的定位方法，就能到并备份￥Ｂｉｔｍａｐ的文件内容。
3.4 在$MFT 中查宿主文件/目录的记录
位于￥ＭＦＴ中第２３号记录以后的记录是用户的文件／目录的记录。因此，从偏移量：￥ＭＦＴ起始ＬＣＮ×卷因子＋１０２４×２３处开始读入数据，每次读入１０２４字节数据（一个文件记录的大小），在这一个文件记录中判读是否是要寻的宿主文件／目录，需要用到文件／目录的名称属性￥ＦＩＬＥ＿ＮＡＭＥ。根据下面￥ＦＩＬＥ＿ＮＡＭＥ属性的数据结构，
可以到该文件／目录的名称，可以判断这条记录是不是我们要的宿主文件／目录的记录。￥ＦＩＬＥ＿ＮＡＭＥ属性的数据结构简要说明如下：
ｔｙｐｅｄｅｆ　ｓｔｒｕｃｔ　ＮＴＦＳＦｉｌｅＮａｍｅＡｔｔｒｉ｛　／／下面的偏移量都是相对于该结构开头的偏移
０ｘ００　ＷＯＲＤ　ＡｔｔｒｉＴｙｐｅ；　／／属性类型，０ｘ００００００３０表示名称属性０ｘ５８　ＢＹＴＥ　ＣｈａｒＬｅｎｇｔｈ；　／／文件／目录的名称长度，以字符计（Ｌ）０ｘ６０　ＢＹＴＥ　ＦｉｌｅＮａｍｅ［２Ｌ］；　／／以Ｕｎｉｃｏｄｅ方式表示的文件名，２Ｌ为大于文件名占用的最小整数，而且是８的整数倍，剩余空间用随机字符填充
｝ＣＮＴＦＳＦｉｌｅＮａｍｅ；
［５］
由于命名空间的不同，一个文件／目录可能存在多个￥ＦＩＬＥ＿ＮＡＭＥ属性，然而，总是能在若干个￥ＦＩＬＥ＿ＮＡＭＥ属性中到与宿主文件名相同的字符串（Ｕｎｉｃｏｄｅ），这样就可以确定该记录为宿主文件／目录的记录。3.5 记录隐藏文件所在ADS 的运行列表
ＡＤＳ是一种命名的￥Ｄａｔａ属性，可以根据建立ＡＤＳ时所使用的名称（Ｕｎｉｃｏｄｅ），在宿主文件／目录的记录中寻隐藏文件所在的ＡＤＳ头结构及其运行列表。￥Ｄａｔａ属性的简要数据结构及说明如下：
    ｔｙｐｅｄｅｆ　ｓｔｒｕｃｔ　ＮＴＦＳＦｉｌｅＤａｔａＡｔｔｒｉ｛　／／下面的偏移量都是相对于该结构开头的偏移
０ｘ００　ＤＷＯＲＤ　ＡｔｔｒｉＴｙｐｅ；　／／属性类型，０ｘ００００００８０表示数据流属性电子信息类专业
０ｘ０４　ＤＷＯＲＤ　ＡｔｔｒｉＬｅｎｇｔｈ；　／／属性长度，常驻属性的大小０ｘ０９　ＢＹＴＥ　ＮａｍｅＬｅｎｇｔｈ；  　／／属性名称的长度（以字为单位）０ｘ０Ａ　ＷＯＲＤ　ＮａｍｅＯｆｆｓｅｔ；　／／属性名称相对于属性开头的偏移０ｘ２０　ＷＯＲＤ　ＲｕｎＬｉｓｔＯ
ｆｆｓｅｔ；　／／运行列表相对于属性开头的偏移０ｘ３０　ＱＷＯＲＤ　ＲｅａｌＳｉｚｅ；  ／／属性值的实际大小
０ｘ４０　ＢＹＴＥ　Ｎａｍｅ［Ｍ］；　／／用于存储属性名（Ｕｎｉｃｏｄｅ），Ｍ值为大于２×ＮａｍｅＬｅｎｇｔｈ的整数，且是８的倍数，空位用０ｘ００占位
０ｘ４０＋Ｍ　ＢＹＴＥ　ＲｕｎＬｉｓｔ［Ｎ］；　／／用于存储运行列表，Ｎ值为８的倍数，空位由随机内容占位
｝　ＣＮＴＦＳＦｉｌｅＤａｔａ；
［５］
南京 旅游在文件／目录的记录中寻￥Ｄａｔａ属性与寻￥ＦＩＬＥ＿ＮＡＭＥ属性类似。在上面的数据结构中，可以用ＮａｍｅＬｅｎｇｔｈ和ＮａｍｅＯｆｆｓｅｔ到ＡＤＳ的名称，用ＲｕｎＬｉｓｔＯｆｆｓｅｔ到运行列表。
3.6 在宿主文件/目录的$MFT 记录中删除ADS 头结构
这里删除交换数据流属性只是删除文件／目录的记录中的ＡＤＳ属性结构，使一些查ＡＤＳ的程序
和软件无法发现。删除ＡＤＳ属性结构，可以用该属性结构后面的内容直接覆盖至该属性结构的起始位置，然后再更改文件／

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。