ADS Verborgen bestanden (stromen) Cum 13 juli 2008 Rudiger.

Presentatie over: "ADS Verborgen bestanden (stromen) Cum 13 juli 2008 Rudiger."— Transcript van de presentatie:

1 ADS Verborgen bestanden (stromen) Cum 13 juli 2008 Rudiger

2 Popups in XP Sinds Servicepack2 van windows XP krijgen we meer en meer popups om te melden dat het niet meer veilig is als we bepaalde bestanden openen XP maakt hier gebruik van ADS (alternatieve data streams) om bij te houden waar we de bestanden gekregen hebben om te bepalen als het wel veilig is om ze te openen

3 Zone Identifiers Lokaal internet = 1 Vertrouwde websites = 2 internet = 3 Websites met beperkte toegang= 4 Zone.Identifier [ZoneTransfer] ZoneId=3

4 Zone 3 internet

5 Alleen bij NTFS schijven

6 Wat is een Alternate Data-Stream Een ADS is een verborgen bestand (de stream) dat is gelinkt aan een normaal (zichtbaar) bestand. Op deze manier wordt dus het bestand (dat de daadwerkelijke gegevens bevat) afgeschermd van de buitenwereld. De 2 belangrijkste eigenschappen zijn dat ADS-bestanden ongelimiteerd zijn voor wat betreft de grootte en dat meerdere ADS's aan hetzelfde normale bestand kunnen worden gelinkt. Een ADS ziet er alsvolgt uit: Bestand:Stream, waarbij - Bestand zichtbaar is en een willekeurig naam en extentie kan hebben. Bestand kan trouwens elk soort bestand zijn... dus ook een folder en zelfs de root van een partitie. - Stream is verborgen en bevat de werkelijke data. Een stream kan praktisch elk soort bestand zijn, inclusief DLL of Executable.

7 Waarom bestaan Alternate Data- streams Het idee komt van Microsoft en is geimplementeerd in het NTFS-filesysteem. De belangrijkste redenen voor de ontwikkeling van streams waren: - Compatibiliteit met het Macintosh- filesysteem. - Indexering van bv. opslagmedia vereenvoudigen.

8 Het gevaar van Alternate Data-streams Alternate Data-stream worden door normale Windows-programma's (zoals bv. Windows verkenner) niet gezien. Het enige dat ze zien is het normale bestand waaraan de stream is gekoppeld, maar niets wijst op de aanwezigheid van de stream zelf. Er zijn dus speciale programma's nodig, zoals bv. ADSSpy van Merijn en ADS Locator van Safer Networking, om de streams zichtbaar te maken.

9 Misbruik ADS's worden o.a. misbruikt door: - CoolWebSearch-varianten (advertenties) - Rootkits - Virussen, bv. W2K.Stream en W32/Dumaru-A

10 Nuttige' toepassingen van ADS - Kaspersky: iStream (zoals Kaspersky de ADS- methode noemt) gebruikt ADS-technieken om checksum-informatie van bestanden te bewaren. Het voordeel is dat een scan sneller kan worden uitgevoerd, omdat alleen de checksums-streams hoeven te worden gecontroleerd. Samenvatting informatie van bestanden in verkenner;

11 Samenvattingsinfo bestand

12 VISTA DIR /r commando

13 DOS commandos Om tekst in een stroom te plaatsen: echo text >> file:stream Om tekst te bewerken in een stroom notepad file:stream Om een bestand toe te voegen aan een stroom: type datafile >> file:stream Om verborgen data uit een stroom naar een bestand te schrijven more datafile Om een stroom uit te voeren start.\file:stream more < file:stream | cmd -k

14 Verwijderen ADS ADS wordt verwijderd als men de folder of het bestand volledig verwijdert Wil men de ADS verwijderen maar de primaire data behouden heeft men volgende mogelijkheden Copy het bestand naar een FAT drive en copieer dit terug naar het oorspronkelijk bestand Overschrijf de ADS met een leeg bestand Gebruik het programma ADS SPY van Merijn

15 Windows utilities In Vista typ Dir /R Streams http://technet.microsoft.com/en- us/sysinternals/bb897440.aspx http://technet.microsoft.com/en- us/sysinternals/bb897440.aspx Lads http://www.heysoft.de/Frames/f_sw_la_en.htm http://www.heysoft.de/Frames/f_sw_la_en.htm ZoneIDtrimmer http://www.gasanov.net/ZoneIDTrimmer.asp http://www.gasanov.net/ZoneIDTrimmer.asp ADSspy http://www.merijn.org/programs.php#adsspy http://www.merijn.org/programs.php#adsspy

16 Bronnen www.propagating.net http://www.hijackthis.nl/forum/viewtopic.php ?t=2086 http://www.hijackthis.nl/forum/viewtopic.php ?t=2086