如何使用替代数据流添加新文件属性答案

【问题标题】：How to add a new file property by using alternative data streams如何使用替代数据流添加新文件属性
【发布时间】：2013-08-02 07:15:38
【问题描述】：

当我研究恶意软件时，似乎该恶意软件通过使用替代数据流向 PE 文件添加了新的快捷方式属性。它无法调试，我只能从 ProcessMonitor 收集一些信息。以下是恶意软件调用的相关API：

CreateFile("C:\Test.exe:!",...)

ZwFsControlFile(.. FSCTL_SET_REPARSE_POINT ..)

有没有人知道如何通过替代数据流添加用户定义的属性？谢谢。

【问题讨论】：

NtCreateFile 是您要查找的 api，mox 答案中的链接有点陈旧，对于像我这样有同样问题的人来说也有点晚了，试试这个答案stackoverflow.com/a/46141949/337598

【解决方案1】：

网络上有很多信息可以回答您的问题。

【讨论】：

我已经阅读了很多关于 ADS 的信息。但是所有这些都是关于如何写入、读取和删除替代数据流的，并且关于 ADS 的用户定义属性的信息很少。我仍然不知道如何通过 ADS 将用户定义的属性添加到文件中。你能帮我吗？谢谢。
如 url 中所述，ADS 只是 NTFS 文件的主要（未命名）流中的一个（命名）流。 “用户定义的属性”只是一个附加的 ADS。