Excel是如何知道你的文件来自网络的，浅谈NTFS备用流

之前开发在测试导出功能的时候，每次打开excel都会提示你 文件来自网络，突然有个疑问，excel是怎么知道我的文件来自网络的？ 为什么我从u盘复制的文件不会弹出这个提示？

首先最直接能想到的，当我们从网络例如chrome下载文件的时候，chrome肯定除了文件本身，还会写入其他的东西放进类似注册表的东西去，然后excel读取文件的时候都去校验一下文件的来源。

然后我就在网上进行了一系列搜索。微软的官方文件的就有了一个解释 (原文),

从 Internet 下载文件时，Windows附件执行服务会在文件的备用数据流中放置一个标记，以表明它来自 Internet 区域。当 Word、Excel 或 PowerPoint 文件打开并带有此标记时，它将在受保护的视图中打开，直到用户决定信任和编辑它。这是通过按如下所示的“启用编辑”按钮来完成的：

那么，这个文件的备用数据流是什么。

文件备用流，全称 Alternate Data Streams (ADS),当初设计的目的可能是提供类似 macos 上 Hierarchical File System (HFS) (分层文件系统)) 类似的功能.

每个文件都有一个默认的文件流，流名称是一个空字符，例如 a.txt::$DATA ,也就是 a.txt，你可以在文件管理器直接看到。

你从网上下载的文件，大多除了默认流，还有一个流，例如 a.txt:Zone.Identifier:$DATA,这个 Zone.Identifier 就是文件的备用流名称，一般用来标记从网上下载的文件。

你在文件管理器看不到这个文件，但是可以在命令行看到，在下载目录打开 cmd，输入 dir /r ,你就可以看到文件的备用流。excel也正是根据这个后缀判断文件是否来自网络。

你可以输入例如 notepad a.txt:Zone.Identifier:$DATA 来查看这个文件，一般会有类似下面的信息

[ZoneTransfer]
ZoneId=3
ReferrerUrl=https://test.com
HostUrl=https://test.com

通过这些信息，就可以判断这个文件是从那里下载的。

当你在NTFS格式的系统中复制文件时，备用流也会跟着复制，如果复制到其他格式的系统，或者通过网络上传，备用流将会被丢弃。

你不能直接删除备用流，删除原文件的时候备用流也会一起被删除，如果需要单独删除流的话，可以使用微软官方的工具 下载地址 ,或者你可以是使用这个工具 AlternateStreamView

当然,你也不能直接创建备用流，因为windows的文件名不能包括 :，不过同样，你可以使用cmd
例如

#把 test 写入到 a.txt的名为 hidden的备用流中
echo 'test' > a.txt:hidden:$DATA 
#或者 直接 
notepad a.txt:hidden:$DATA 

同样的，你也可以使用其他编程语言创建一个例如 a.txt:hidden:$DATA 的输入流，然后写入数据

简单小总结

• 显示备用流 dir /r
• 查看修改备用流内容 notepad '流文件名'
• 创建备用流 notepad '流文件名'
• 仅删除备用流 streams.exe 或 AlternateStreamView.exe

我觉得它有什么用处

• 首先，我们可以用它来藏文件，而且文件管理器看到文件大小不会发生变化，除了用命令行文件不会被察觉
• 可以知道文件从那里下载的，比如我下载一个压缩文件，需要密码，刚好密码我忘了，我可以用这个方法看看文件是从哪里下载，去看看楼主留下的密码
• 下次我写软件的时候可以按照这个特性来做到和excel相同的提示，或者我的软件保存文件的时候可以用这种方式保存一些额外信息。（不知道linux有没有类似的东西）
• 最重要的还是图一乐
• 其实备用流还是可以当作可执行文件来直接执行，直接使用命令 start a.txt:a.exe:$DATA，不过微软后续堵上了这个漏洞，不过现在还是有办法执行的，这个各位可以研究，不过感觉没多大意义。