webshell的NTFS交换数据流文件隐藏及Python脚本查杀

本文是参考了FreeBuf上的一篇文章然后再学习一遍的~

通过NTFS交换数据流文件实现文件隐藏：

首先创建一个正常的文本文件test.txt，到命令行通过dir命令查看：

先使用echo命令吧，就是将相应的字符写入新建的交换数据流文件中，通过echo hello>>test.txt:webshell.php创建交换数据流文件，然后通过dir /r命令查看，不添加/r参数是查看不到的：

接着查看新建的webshell.php文件：