講習中の発見をメモしておこう

木・金の講習中に実行中ファイルの削除をデモ中に、NTFS代替データストリームにファイルを置いていれば、わざわざ管理共有経由でなくとも自由に実行中プログラムの実体（ファイル）を削除できることに気がつく＿|￣|○
忘れないうちにメモしておこう。

type c:\windows\notepad.exe > a.txt:notepad.exe
start a.txt:notepad.exe
del a.txt

この例では、a.txtが削除された段階で、代替データストリーム上にある“a.txt:notepad.exe”も削除された状態になるが、プロセスは実行中のまま維持することができる。ディスク上のデータは、削除ファイルを復元することで入手できる可能性もあるけど、未使用領域なので使われてしまう可能性が高い。*1

*1:プロセスが実行中でもディスク上の実体（利用していたセクタのデータ）は消えていく