アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

代替データストリームを削除する

代替データストリームを持つファイルから、メインストリーム以外のデータストリームを削除するには、メインストリームの内容を別のファイルとして出力した後、元のファイルを削除します。

例) a.txt にストリーム notepad.exe を作成し、それを削除する
type c:\WINDOWS\NOTEPAD.EXE > a.txt:notepad.exe
type a.txt > a_backup.txt
delete a.txt
rename a.backup.txt a.txt

lfnutils に含まれる lfndel.exe を利用することで、指定したデータストリームを削除することができます。

例)streamls を利用してデータストリームを確認し、ストリーム c.txt だけを ldel で削除する
streamls.exe a.txt
    Stream 7 b.txt
    Stream 7 c.txt

lfndel.exe a.txt:c.txt