Intro:
ADS står for Alternate Data Stream, og er en funktion der eksisterer i Microsofts NTFS filsystem.
Oprindeligt er det vist for at have noget kompabilitet med nogle ældre Machintosh filsystemer.
Dette virker, så vidt jeg ved, i Windows XP og ældre Microsoft operativ systemer.
Nyere operativ systemer benytter OLE 2.0 structured storage (IStream and IStorage), som jeg desværre ikke har erfaring med.

Lidt om ADS:
ADS tillader at gemme filer i andre filer uden at påvirke de eksisterende filer.
Dvs. den originale fil, skifter ikke filstørrelse eller lign., når en anden fil gemmes oven i den.
Man vil heller ikke kunne se den nye fil, når man lister et directory med "dir" kommandoen. Derfor er det også vigtigt, man husker på, hvor man har gemt sin fil. Evt. brug den samme fil alle steder, man ønsker at bruge ADS.
For at se disse filer, som er gemt med ADS, skal man bruge nogle specielle værktøjer.
Umiddelbart lyder det lidt underligt at gemme en fil, oven i en anden fil, men det bliver forhåbentligt klart, med et eksempel.

Gem NetCat med ADS:
Lad os antage, vil gerne vil gemme NetCat på en windows computer,
men gerne vil skjule den fra brugeren, så kan vi gemme nc.exe oven i f.eks. notepad.exe.
Det er ikke et krav, at den fil, vi bruger til at skjule nc.exe i, er en eksekverbar fil.
Det kan lige så vel være en tekst fil. Det er selvfølgelig smart at vælge en fil, vi er sikker på, ikke bliver slettet.
F.eks. en fil, som følger med windows. Man skal bare overveje, om det er en som biver overskrevet af patches.


Windows kommandoen type, skriver bare indholdet af nc.exe ud på skærmen. Dette er tilsvarende cat, more osv, på linux.
Vi tager så outputtet fra type, altså indholdet af nc.exe og piper det med ">" over i notepad.exe.
Vi vil så frem over referere til nc.exe under navnet "notepad.exe:nc.exe".

Eksekvering af NetCat:
Når vi skal starte nc.exe, som er gemt i notepad.exe, bruger vi windows kommandoen "start".


Så simpelt er det! Man skal selvfølgelig slette den originale nc.exe, den som ikke er gemt via ADS. Dette påvirker ikke notepad.exe:nc.exe filen.
Det kan selvfølgelig gøres med "del" kommandoen. Hvis det gøres over Metasploit Meterpreter, er det en god idé at bruge "/Q" parametren, da man ellers kan miste sin session.
Den fortæller "del" kommandoen, man ønsker at bruge Quiet mode, hvilket betyder man ikke ønsker at blive prompted for noget.

Browsing ADS filer:
For at se, hvad der gemmer sig i ADS på notepad.exe, kan man bruge windows kommandoen "more" hvor vi piper indholder af notepad.exe:nc.exe ud i more kommandoen med "<".


Dette er dog ikke så brugbart, hvis det er en eksekverbar fil, man har gemt i notepad.exe.
Det kan selvfølgelig lige så godt være en tekstfil med dumps af NTML hashes, eller hvad man nu har fået fingre i.


Links:
http://support.microsoft.com/kb/105763
http://en.wikipedia.org/wiki/COM_Structured_Storage

EDIT:
I nyere windows, kan man se filer med ADS indhold, ved at bruge kommandoen "dir /R".

Smart, langt mere subtilt end den metode jeg kender hvor man simpelthen kopierer et arkiv ind ved siden af et billede og så kan billedet åbnes som det arkiv. Copy /b mener jeg nok det er.

(03-11-2013, 12:29)Doctor Blue Skrev: Smart, langt mere subtilt end den metode jeg kender hvor man simpelthen kopierer et arkiv ind ved siden af et billede og så kan billedet åbnes som det arkiv. Copy /b mener jeg nok det er.

Ah, det kender jeg så til gengæld ikke. Det må jeg lige se hvad er. :)

(03-11-2013, 14:27)iTick Skrev: Ah, det kender jeg så til gengæld ikke. Det må jeg lige se hvad er. :)

Det er ret så enkelt...

(03-11-2013, 20:43)Doctor Blue Skrev: Det er ret så enkelt...

Kode:

copy /b image.jpg + archive.zip output.jpg

Det har jeg aldrig nogen sinde set. Humm. Det skal prøves. :D

(03-11-2013, 20:43)Doctor Blue Skrev: Det er ret så enkelt...

Kode:

copy /b image.jpg + archive.zip output.jpg

Yes det er et gammelt trik :B):