Альтернативный поток данных
Альтернативные потоки данных — метаданные, свя-
занные с объектом файловой системы NTFS. В файловой
системе NTFS файл может быть связан не только с ос-
новными данными, но и с одним или несколькими допол-
нительными потоками данных. При этом дополнительный
поток может быть произвольного размера, в том числе
может превышать размер основного файла.
Таким образом в файловой системе NTFS возможно
создать в любом файле дополнительный поток, в котором
будет скрываемая информация. При открытии файла
будет запускаться основной поток, из которого нет до-
ступа к дополнительному.
Данный способ можно продемонстрировать на тек-
стовом файле. Создавать его необходимо через командную
строку:
где x — скрываемый текст; y — название файла; z —
название дополнительного потока.
При создании файла с альтернативным потоком
данных можно не указывать скрываемый текст, а указать
его позже при открытии файла. Дополнительный поток
может быть прочитан и изменён следующим образом
(в случае с блокнотом):
где notepad.exe — название программы, с помощью ко-
торой будет открыт файл (в нашем случае блокнот); y —
название файла; z — название дополнительного потока.
После необходимых изменений документ можно сохра-
нить. По итогу получается пустой основной поток, но аль-
тернативный поток имеет в себе скрытый текст. Запол-
нять можно как основной поток, так и дополнительный.
Рис.
1.
Демонстрация способа «Альтернативный поток данных»
Файловый контейнер RarJpeg
RarJpeg — файловый контейнер, который состоит из
двух входных файлов:
изображение формата JPEG;
– архив формата RAR.
Метод основан на том, что создаётся новый резуль-
тативный файл, в котором архив RAR приписывается
впритык к JPEG-изображению. При запуске такого
файла будет открываться изображение. Если открыть
файл с помощью архиватора, можно будет увидеть со-
держимое скрытого архива. Данный эффект достигается
с помощью побитового копирования. Тот же метод может
использоваться и для некоторых других форматов: к ил-
люстрациям JPEG, GIF, PNG или к звукозаписям WAV
могут быть дописаны архивы RAR или ZIP, или аудиоза-
писи MP3.
Метод способен к реализации из-за того, что любая
программа для просмотра изображений, читающая
первый файл, игнорирует все данные, следующие за его
концом, а программа, читающая второй файл, разыски-
вает его заголовок и игнорирует всё, что заголовку пред-
“Young Scientist”
Достарыңызбен бөлісу: |