zzmzzff的博客

    NTFS数据流（ADS，Alternate Data Streams，附加数据流）通常用于保存文件额外信息，例如文件属性中的摘要信息就是以流的形式存储的。每个文件默认都有一个没有名字的主流，然后它还可以有其它若干附加流，这些流都为$Data属性，也就是数据属性，用WinHex查看一个文件的MFT，如果含有两个以上0x80属性，说明该文件存在附加流。主流是没有名字的，但附加流都有属性名，附加...

最近测试发现，FAT32分区下正在运行的EXE程序能够被正常删除，但是无法删除正在使用中的文件。正在运行是指定文件模块已加载到内存，通常是EXE或DLL，而正在使用是指文件句柄被其它进程打开或占用，这类文件通常是文档，例如TXT，确切地说两者是有区别的。不过，即使是正在使用的文件也能通过改写FAT（文件分配表）来强制删除，这个在此暂且不谈。漏洞测试方法：首先选择一个FAT32的分区，硬盘或U盘都可...