题目信息项目内容题目名称[ACTF新生赛2020]NTFS数据流题目来源BUUCTFACTF新生赛2020题目类型MISC杂项子分类NTFS数据流隐写考点NTFS交换数据流ADS、NtfsStreamsEditor工具使用难度⭐最终 Flagflag{AAAds_nntfs_ffunn?}️ 使用工具WinRAR—— 解压.tar和.rar压缩包NtfsStreamsEditor—— NTFS数据流扫描与提取工具知识点NTFS交换数据流Alternate Data Streams简称ADS是NTFS文件系统的一个特性允许一个文件附着多个数据流即除了主文件流之外还允许许多非主文件流寄生在主文件流中这些寄生数据流使用资源管理器是看不到的。 解题思路题目名为“NTFS数据流”直接指明了考点。附件是一个.tar文件解压后得到大量内容相同的.txt文件——真正的 Flag 隐藏在某个文件的 NTFS 数据流中需要使用专用工具扫描发现。第 1 步解压附件下载附件得到一个.tar文件。使用WinRAR解压得到tmp文件夹。进入tmp文件夹里面有一个flag.rar文件继续使用WinRAR解压。解压后得到500 个.txt文件。随便打开一个.txt文件查看内容均为无意义字符flag is not here。第 2 步使用 NtfsStreamsEditor 扫描数据流题目明确提示是 NTFS 数据流需要使用专用工具扫描隐藏的附加数据流。打开NtfsStreamsEditor工具点击“打开文件夹”选择存放 500 个.txt文件的tmp文件夹工具会自动扫描该文件夹下所有文件的 NTFS 数据流扫描完成后工具会列出所有包含附加数据流的文件。第 3 步发现并导出隐藏的 Flag在扫描结果中发现293.txt:flag.txt——这说明在293.txt这个文件上寄生了一个名为flag.txt的 NTFS 数据流。在 NtfsStreamsEditor 中双击该数据流条目即可查看其内容得到 Flag。⚠️注意解压时必须使用WinRAR不要使用 Bandzip 等其他解压软件否则可能会丢失 NTFS 数据流信息。扫描时一定要选择存放所有 txt 文件的文件夹进行扫描而不是单独扫描某一个文件。如果 NtfsStreamsEditor 无法使用可以尝试AlternateStreamView作为替代工具。 最终 Flagflag{AAAds_nntfs_ffunn?}