利用NTFS Streams进行溯源
type
status
date
slug
summary
tags
category
icon
password
本文将介绍如何利用NTFS Streams中的Zone.Identifier数据流,结合Microsoft Defender SmartScreen安全机制,有效追溯从互联网下载的文件的原始URL
从互联网下载一些可执行文件并执行它们时,您可能已经看到过此告警。
Microsoft Defender SmartScreen 是一种安全机制,旨在保护最终用户免遭潜在恶意应用程序的运行。
![notion image](https://www.notion.so/image/https%3A%2F%2Fprod-files-secure.s3.us-west-2.amazonaws.com%2Fb514230b-656a-401a-bf8a-89bec6f81215%2F2812c028-3aca-4c31-80f3-f3101bf3fe92%2FUntitled.png?table=block&id=be2057a9-7865-48fe-b976-2e951618fa5d&t=be2057a9-7865-48fe-b976-2e951618fa5d&width=799&cache=v2)
MoTW(Web 标记)是一种 NTFS 备用数据流,名称为 Zone.Identifier,从互联网下载文件时会自动创建该数据流以及下载文件的 URL。
这种设计使得追溯文件来源变得更加便捷。通过分析Zone.Identifier数据流,可以轻松地获取下载文件的URL信息,从而追踪文件的来源。例如,如果发现一个可疑文件,并怀疑其来源不明,可以检查文件的Zone.Identifier数据流,以获取下载 URL 并进一步调查其来源。
![notion image](https://www.notion.so/image/https%3A%2F%2Fprod-files-secure.s3.us-west-2.amazonaws.com%2Fb514230b-656a-401a-bf8a-89bec6f81215%2Fc6bd00dd-c4e2-4616-913a-ce4b3a71359e%2FUntitled.png?table=block&id=a63d07f5-b99c-4c97-8013-f692610602fe&t=a63d07f5-b99c-4c97-8013-f692610602fe&width=969&cache=v2)
Loading...