用Delphi实现NTFS交换数据流的枚举

页面导航:首页 > 软件编程 > Delphi > 用Delphi实现NTFS交换数据流的枚举

用Delphi实现NTFS交换数据流的枚举

来源: 作者: 时间:2016-01-21 09:33 【

文/图 彭毅=================================== NTFS交换数据流(Alternate Data Stream)是NTFS文件系统的一个特性,它允许文件存在多个数据流。一般来说,文件有很多属性,如文件名、文件所有者、

文/图 彭毅
===================================
NTFS交换数据流(Alternate Data Stream)是NTFS文件系统的一个特性,它允许文件存在多个数据流。一般来说,文件有很多属性,如文件名、文件所有者、文件创建时间等,文件每个属性都包含一个单一的数据流。默认创建的文件都只有默认数据流。文件默认数据流没有名字,而且在非NTFS文件系统中,默认数据流也是唯一被识别的数据流。而在NTFS中,可以通过程序实现附加的数据流来存储更多的内容,这些附加的数据流就叫做NTFS交换数据流。
流这种东西从Windows NT 3.1 开始就得到了支持,到了Windows 2000,NTFS交换数据流ADS作为新特性添加到了Windows系统中。由于微软对于ADS本身API支持不是很好,所以在程序中一直没有被推广;加上ADS作为文件的附加数据支持,大部分的人都认为是食之无味的鸡肋,可有可无。
ADS在实际程序中的运用,特别是在安全方面的应用,一直到了2000年才得以改观。2000年29A病毒研究组织发布了第一个利用NTFS交换数据流进行病毒感染的病毒原型,让全世界对ADS刮目相看。对此,各个研究组织纷纷开始研究ADS的检测技术,如Norton、卡巴斯基都在自己的杀毒软件中加入了查杀NTFS交换数据流病毒的能力。
由于Win32 API 对于ADS支持不是很好,所以让ADS的枚举技术一度称为一些公司的秘密技术。就API本身来说,官方推荐使用BackupRead、BackupSeek和BackupWrite这组函数进行ADS的枚举和读取。现在在网上能找到很多相关的程序和代码,这些代码大部分是用C/C++实现,而用Delphi实现的很少。这里我们就一起探讨一下用Delphi来实现ADS的枚举。
首先我们来看一下Backup*系列函数的原型,代码如下。

BOOL BackupRead(HANDLE hFile,LPBYTE lpBuffer,DWORD nNumberOfBytesToRead,LPDWORD lpNumberOfBytesRead,BOOL bAbort,BOOL bProcessSecurity,LPVOID* lpContext);

BackupRead函数被用于备份文件或文件夹,包括备份它们相关的安全信息。其中hFile参数代表备份文件的句柄;lpBuffer指定数据读入的缓冲区地址,我们得到的ADS信息就在这里;nNumberOfBytesToRead参数指定程序开设的缓冲区大小。注意,这个参数大小一定要大于WIN32_STREAM_ID结构的大小。WIN32_STREAM_ID结构我们会在后面介绍。lpNumberOfBytesRead参数代表实际调用后返回的大小。lpContext用于BackupRead函数内部处理的信息。其它参数可以选择默认,具体大家可以参考MSDN描述。函数成功执行返回非零值,以此来判断调用成功与否。
在BackupRead成功读取的文件信息中,各类流信息是一个整体。为了方便读取各个流信息,API函数BackupSeek可以实现流到流的跳转功能,其函数原型如下。

BOOL BackupSeek(HANDLE hFile,DWORD dwLowBytesToSeek,DWORD dwHighBytesToSeek,LPDWORD lpdwLowByteSeeked,LPDWORD lpdwHighByteSeeked,LPVOID* lpContext);

hFile参数为待操作的文件句柄;dwLowBytesToSeek是预搜索的偏移地址的低字节部分,dwHighBytesToSeek为高字节部分。lpdwLowByteSeeked代表已搜索到的偏移地址低字节部分指定的变量的地址,lpdwHighByteSeeked为相应的高字节。函数成功执行则返回非零值。
下面我们再来看一下刚才提到的WIN32_STREAM_ID结构,其原型如下。

typedef struct _WIN32_STREAM_ID {DWORD dwStreamId;DWORD dwStreamAttributes;LARGE_INTEGER Size;DWORD dwStreamNameSize;WCHAR cStreamName[ANYSIZE_ARRAY];}WIN32_STREAM_ID, *LPWIN32_STREAM_ID;

WIN32_STREAM_ID结构中存贮的就是详细的数据流的信息。dwStreamId字段为数据流的类型。
NTFS交换数据流的标志为BACKUP_ALTERNATE_DATA。其它的属性,如BACKUP_SECURITY_DATA代表文件的安全属性等,大家可以查看MSDN得到详细的属性列表。
万事俱备,我们现在开始用Backup*系列API函数来进行NTFS交换数据流的枚举。一般来说,用Backup*系列函数都需要以下几个步骤。
1)用CreateFile打开文件,得到文件句柄hFile,代码如下。
hFile := CreateFile(FilePath,GENERIC_READ, 0, nil, OPEN_EXISTING,FILE_FLAG_BACKUP_SEMANTICS or FILE_FLAG_POSIX_SEMANTICS, 0);

    其中hFile为返回的文件句柄,FilePath为待处理文件的文件名(用绝对路径方式)。
2)第一次调用BackupRead看文件是否存在数据流信息。
BackupRead (hFile, @ pBuffer, BytesToRead, BytesRead, FALSE, FALSE, pContext);

这里pBuffer和WIN32_STREAM_ID结构进行关联,在C/C++中通常是定义为:

WIN32_STREAM_ID & wsi = *( (WIN32_STREAM_ID *) buf );

而在Delphi里则需要一个特殊的技巧,就是用关键字absolute来进行连接,代码如下。

StreamId :WIN32_STREAM_ID absolute pBuffer;

这样,在后面的程序中,我们就可以直接使用StreamId来进行数据处理了。
3)通过读取StreamId.dwStreamNameSize属性,如果大于0,则进行第二次BackupRead调用来读取数据流信息。
4)调用BackupSeek来循环读取数据流信息。
5)再次调用BackupRead,将nNumberOfBytesToRead设为0,将bAbort参数设为TRUE来释放BackupRead函数内部使用的lpContext结构。
我们可以看到,通过上面的方法能够完成ADS的枚举工作,但程序编写会显得有些凌乱,并且模块化程度不高,不利于进行后期的维护。幸运的是,我们可以通过Delphi的开源程序包JCL来实现以上功能。JEDI Code Library(JCL)是一个开放源代码的Delphi程序包,它封装了绝大部分记录于MSDN文档的函数声明和调用,能够方便地应用于程序开发中,其地址为。
下载JCL后,我们找到JclNTFS.pas文件,其中NtfsFindFirstStream、NtfsFindNextStream和NtfsFindStreamClose完成了数据流打开、枚举及文件关闭的操作。我们可以写一个测试程序,由于文件流有很多,所以我们在Delphi窗体上设置一个选择按钮,并且定义一个全局变量,来让用户选择是否显示所有数据流,还是只显示NTFS交换数据流。代码如下。
var
bShowAll : Boolean; // 是否显示所有数据流

接下来我们在Delphi窗体上添加TreeView控件来显示枚举信息,如图1所示,然后开始枚举ADS。
 
图1

procedure TformMain.btnEnumClick(Sender: TObject);
var
fsd: TFindStreamData; // 定义Jcl数据流结构
root,sub,sub2,sub3:TTreeNode; // 定义TreeView结点
i: integer;
begin
i :=1;
tv.Items.Clear; // TreeView结点清空
root := tv.Items.Add(tv.TopItem,NTFS交换数据流);
// 添加根结点
oot.ImageIndex :=0;

if NtfsFindFirstStream(edtFile.Text, [], fsd) then
// 开始枚举
begin
sub := tv.Items.AddChild(root,edtFile.Text);
// 添加存在数据流的文件
sub.ImageIndex :=1;
repeat
if bShowAll then  // 显示全部数据流信息
begin
sub2 := tv.Items.AddChild(sub,数据流 +IntToStr(i));
sub2.ImageIndex :=2;
sub3 := tv.Items.AddChild(sub2,属性: +IntToStr(fsd.Attributes));
sub3 := tv.Items.AddChild(sub2,数据流ID: +sid2str(fsd.StreamID));
sub3 := tv.Items.AddChild(sub2,名称: +fsd.Name);
sub3 := tv.Items.AddChild(sub2,大小: +IntToStr(fsd.Size)+字节);

Inc(i);
end
else if fsd.StreamID = siAlternate then
// 只显示ADS信息
begin
sub2 := tv.Items.AddChild(sub,数据流 +IntToStr(i));
sub2.ImageIndex :=2;
sub3 := tv.Items.AddChild(sub2,属性: +IntToStr(fsd.Attributes));
sub3 := tv.Items.AddChild(sub2,数据流ID: +sid2str(fsd.StreamID));
sub3 := tv.Items.AddChild(sub2,名称: +fsd.Name);
sub3 := tv.Items.AddChild(sub2,大小: +IntToStr(fsd.Size));
Inc(i);
end;
until not NtfsFindNextStream(fsd); // 循环枚举
NtfsFindStreamClose(fsd); // 做清理工作
end;
end;

        为了测试效果,我们现在自己构建一个存在ADS的文件。我的C盘是NTFS结构用命令行方式先看一下,如图2所示。现在用我们的枚举工具试一下,如图3所示,成功了!再选上“显示所有流属性”试一下,如图4所示。
        
图2
        
图3
        
图4
总的来说,NTFS交换数据流必须存在NTFS文件下。如果你的分区格式为FAT32,那么这个程序不能读取文件流信息。有了上面的程序,我们还可以为这个枚举程序添加ADS添加、删除的功能,这样我们的程序也就有了读取NTFS交换数据流的能力

Tags:

相关文章

    文章评论

    最 近 更 新
    热 点 排 行
    Js与CSS工具
    代码转换工具
    
    <