[硬盘取证]NTFS隐写

做到一道相关的题目  。

BUUCTF：[SWPU2019]我有一只马里奥。

题目地址：https://buuoj.cn/challenges#[SWPU2019]%E6%88%91%E6%9C%89%E4%B8%80%E5%8F%AA%E9%A9%AC%E9%87%8C%E5%A5%A5

运行exe文件，得到提示ntfs和flag.txt。

NTFS隐藏流文件。 

百度一下得到相关知识。

 寄生一:
echo 写入内容>>宿主文件:交换数据流文件（寄生文件）
echo ever>>1.txt:2.txt
2.txt为echo创建出交换数据流文件,ever在2.txt中

寄生二：
type 交换数据流文件（寄生文件）>>宿主文件夹：交换数据流文件（寄生文件）
type 2.txt>>temp:2.txt
temp为空文件夹,执行后2.txt寄生在temp文件夹上
type a.jpg>>temp:a.jpg
temp为空文件夹,执行后a.jpg寄生在temp文件夹上

查看：
notepad 宿主文件:交换数据流文件（寄生文件）
notepad 1.txt:2.txt

查看图片文件：
mspaint 宿主文件:交换数据流文件（寄生文件）
notepad a.jpg:b.jpg
 

这题看起来只是简单的NTFS隐写（隐藏文件知道全称），可以用Windows 自带的 notepad 查看这个隐藏文件。notepad的局限性是需要知道全称。

参考链接：https://blog.csdn.net/mochu7777777/article/details/108934265

再放几篇NTFS数据隐写的相关文章：

NTFS 数据流隐写学习_Goodric的博客-CSDN博客_ntfs数据流隐写

[硬盘取证]初探NTFS隐写 - 简书 (jianshu.com)