Ntfs解析程序能力简单测试(2.24加入SysReveal)

显示全部楼层 · 发表于 2011-1-27 13:59:56

本帖最后由银砾石于 2011-2-24 07:39 编辑

Ntfs解析程序能力测试

一、测试条件 winxp ntfs virtualbox

对于普通目录，常见的解析程序一般都能够正确地分析出目录结构，所以在这里做了一个复杂的目录，考虑到测试需要，选择了最特殊的一个目录，根目录。

1、构建环境

分别闯进硬连接和流文件

for /l %i in (1,1,1000) do fsutil hardlink create c:\hard%i c:\boot.ini

for /l %i in (1,1,1000) do dir .>vc:%i(注意：创建流文件由于测试时未及时记录，已找不到正确的命令，结果分别是根目录创建了1000个流文件，名字从1到1000,vc目录创建了468个文件)

2、创建结果

A、根目录下存在hard1~hard321文件，其为boot.ini的硬连接（太慢，中间停止了）

C:\>fsutil hardlink create c:\hard321 c:\boot.ini

为 c:\hard321 <<===>> c:\boot.ini 创建了硬链接

C:\>fsutil hardlink create c:\hard322 c:\boot.ini

B、根目录下存在vc子目录，其含有1-468的流文件。

C、根目录下含有1-1000的流文件。

二、测试软件

1、NTFS数据流扫描专家

http://bbs.kafan.cn/forum.php?mod=viewthread&tid=801912

2、Ntfs数据流处理工具2.0 NtfsStreamsEditor

(已有正式版，但据作者说正式版仍未对根目录处理，不重新测试)

http://bbs.kafan.cn/forum.php?mod=viewthread&tid=456877

3、XueTr吾爱破解论坛专版

http://bbs.kafan.cn/thread-384301-1-1.html

4、PowerTool3.4.2

http://bbs.kafan.cn/thread-675415-1-1.html

5、Streams v1.56

http://technet.microsoft.com/en-us/sysinternals/bb897440.aspx

6、RootkitUnhooker

http://bbs.kafan.cn/thread-468300-1-1.html

7、GMER

http://bbs.kafan.cn/thread-468300-1-1.html

8、Sysnap anti-rootkit v1.22

下载地址没有了

9、MD

http://bbs.kafan.cn/thread-309224-1-1.html

10、SysReveal 1.0.0.70

http://bbs.kafan.cn/thread-692820-1-1.html

三、测试内容

1、能否正确浏览目录

2、能够正确找到流文件

3、能够识别硬连接文件相关位置

四、测试结果

其中两个工具完全不显示目录内容，分别为4和8；

三个工具不查找根目录的流文件，分别为1和2，10；

两个工具查找不全，分别为3和6；

三个工具能完全显示，为5和7、9。

一个工具未有明确的开启或关闭解析功能，为10。

另外，没有工具额外处理了硬连接，即显示出硬连接对应的文件。

附图如下：

附目录完整记录如下：

out.zip (75.6 KB, 下载次数: 635)

显示全部楼层 · 发表于 2011-1-27 15:29:44

本帖最后由 405942873 于 2011-1-27 15:30 编辑

没想坐到沙发，广告位招租。

显示全部楼层 · 发表于 2011-1-27 15:48:56

太强大了，认真学习，感谢大侠测试

显示全部楼层 · 发表于 2011-1-27 17:08:02

才知道什么是流...

流文件

　　在C语言中对文件的记录是以字符（字节）为单位的。输入输出的数据流的开始和结束仅受程序控制而不受物理符号（如回车换行符）控制。也就是说，在输出时不以回车换行符作为记录的间隔（事实上C文件并不由记录构成）。我们把这种文件称为流式文件。
　　呈现在用户面前的文件结构叫做 .文件的逻辑结构，逻辑结构分为两种：一种是记录式文件，另一种为流式文件。
　　流式文件：文件中的数据是一串字符，没有结构。
　　记录文件：由若干逻辑记录组成，每条逻辑纪录又有相同的数据项组成。
　　流文件就是没有结构的文件！

显示全部楼层 · 发表于 2011-1-27 17:28:31

gmer果然厉害

显示全部楼层 · 发表于 2011-1-27 17:40:33

普通用户，不关心这个

显示全部楼层 · 发表于 2011-1-27 18:53:00

gmer厉害，不过win7下运行貌似有压力

显示全部楼层 · 发表于 2011-1-27 19:07:39

XueTr的ads枚举不全以前也遇到过，短期内不会改。

显示全部楼层 · 发表于 2011-1-27 21:13:22

软件名称能否正确浏览目录能够正确找到流文件能够识别硬连接文件相关位置
pluto1313的NTFS数据流扫描工具不支持能不支持

显示全部楼层 · 发表于 2011-1-27 22:59:18

汗，明天该回家了才看到这个帖子，NTFS数据流扫描专家已经升级到2.0版本了（其实还有一些其他软件也都升级了，不过由于网站还没有改版，就暂时没有放出来），不过还是没有考虑到LZ提到的这个问题。

明天要回家过年，半个月后回来，一定解决楼主提出的问题，呵呵。

[讨论] Ntfs解析程序能力简单测试(2.24加入SysReveal)

评分