Вы используете устаревший браузер!

Страница может отображаться некорректно.

Незваные гости

Незваные гости

Другие выпуски этой рубрики (97)
  • добавить в избранное
    Добавить в закладки

Опасные связи

Прочитали: 4173 Комментариев: 76 Рейтинг: 114

26 сентября 2017

Вирус создал символические ссылки в каталоге клиентов Microsoft Security Client, в результате чего нам необходимо удалить как символические ссылки, так и недопустимые деревья каталогов. Но как удалить символические ссылки? Каждый раз, когда мы пытаемся удалить их, мы получаем ошибку.

https://www.bleepingcomputer.com/forums/t/507588/virus-infection-created-symbolic-links-in-microsoft-security-client-directory

Что такое «симлинки», о которых идет речь в цитате, и зачем они потребовались вирусописателям?

В UNIX-системах ссылки используются крайне широко, но в ОС Windows дело обстоит совершенно иначе. Ссылки – штука очень удобная, но о них нужно рассказывать подробно.

Возьмем для примера файл notepad.exe. Если мы просканируем Windows, то найдем этот файл как минимум в папках Windows и System32.

#drweb

Windows, конечно, известна своими странными решениями, но держать несколько копий одного файла – это перебор. Зачем это нужно?

Дело в том, что в Windows 3.0 местом хранения блокнота была папка Windows, а в Windows NT 3.х – папка System32. Несмотря на то, что обе системы давно стали пыльной историей, блокнот до сих пор размещают в обеих папках. Интересно, что делается это не во всех операционных системах Microsoft, а если и делается, то различными способами! В Windows XP и Windows Vista в обеих папках лежит по файлу notepad.exe. А разработчики Windows Server 2008 решили убрать блокнот из папки Windows, оставив его только в System32. Наверное, они сочли, что на серверной системе устанавливается меньше прикладных программ, и вероятность попадания на несовместимую программу намного ниже.

http://www.outsidethebox.ms/12735

Времена меняются, и удобные места для размещения файлов меняются вместе с ними, но держать несколько копий одного файла – странно, хотя бы с точки зрения места на диске. Что же делать?

Символическая («мягкая») ссылка (также «симлинк», от англ. Symbolic link) — специальная запись в файловой системе, в которой вместо пользовательских данных файла или директории содержится путь к нему, в результате при обращении к ссылке открывается не она, а файл, на который она указывает. Количество симлинков на файл (директорию) неограничено.

То есть файл остается один, но открывать его можно из разных мест: система при обращении к симлинку автоматически распознает путь к файлу и открывает именно его.

В ОС Windows место ссылок заняли ярлыки. Фактически это аналог симлинков. Очень удобно, когда вместо нечитаемого имени файла вы можете сделать ссылку на него, назвав его понятно.

Создать символьную ссылку в Windows 10, 8.1, 8, 7 очень просто. Открываем командную строку, нажав Win+R, вводим cmd и жмем ОК. Если вы собираетесь работать с системными файлами, может понадобиться командная строка с правами администратора.

#drweb

Команда для создания символьной ссылки выглядит следующим образом:

mklink /j "путь, где будет создана символьная ссылка" "путь, где находятся исходный файл или папка"

Здесь /j — атрибут создания соединения для каталога. Если вы создаете ссылку на файл, этот атрибут указывать не надо.

К примеру, если я хочу создать символьную ссылку на папку mklink на локальном диске С как папку mk на диске С, мне нужно ввести следующую команду (и да, символьная ссылка может называться не так, как исходный файл или папка): 

mklink /j "C:\mk" "E:\mklink"

#drweb

В результате мы получим вот это.

#drweb

https://geekteam.pro/kak-sozdat-simvolnuyu-ssyilku-v-windows-10-8-1-8-7

В Windows есть альтернативный способ для папок:

  1. копируем папку, для которой нам нужно создать символьную ссылку;
  2. идем в каталог: 
    C:\Users\*имя пользователя*\AppData\Roaming\Microsoft\Windows\Network Shortcuts
     Папка AppData скрытая, для того чтобы включить отображение скрытых папок, воспользуйтесь этой статьей
  3. жмем правой клавишей по окну каталога и выбираем «Вставить ярлык». Система создаст символьную ссылку до исходного каталога и теперь ее можно перенести в нужное для вас место и переименовать.

http://skesov.ru/sozdanie-simvolnoy-ssyilki-dlya-papki

https://geektimes.ru/post/50878

У ярлыков и симлинков есть один недостаток – они никак не связаны с файлом или директорией, на которую указывают. В результате:

  • если мы удалим файл, на который до этого указывала символическая ссылка (или ярлык), а потом заменим его на совсем другой, но с таким же именем, по существующей ссылке будет открываться новый файл. «Приятная приятность» для злоумышленника!
  • если мы удалим файл, на который до этого указывала символическая ссылка (или ярлык), то она повиснет в воздухе, указывая в никуда.

Для решения второй проблемы предусмотрен другой вид ссылок – жесткие. Жесткую ссылку можно понимать как еще одно полностью равноправное имя файла. Грубо говоря, теперь файл имеет несколько имен – одно, данное ему при рождении, и сколько угодно «согласно документам». В результате, если мы хотим удалить файл, кликнув по его имени, то мы удалим лишь одно из имен. Файл останется доступен под другими именами и удалится, только когда будут удалены все имена.

О разнице в поведении жестких и символических ссылок можно почитать, например, здесь: http://lexpenz.com/notes/chem-otlichaetsya-zhyostkaya-ssylka-ot-simvolicheskoj.html

Символические ссылки легко определить – в файловом менеджере их видно по значку, а в результатах команды dir напротив ссылок пишется SYMLINK. Жесткие ссылки не очевидны, в прямом смысле этого слова.

Проверить уникальность блокнота можно в командной строке, запущенной от имени администратора. Команда fsutil покажет вам жесткие ссылки на файл:

fsutil hardlink list %windir%\notepad.exe

#drweb

Сюрприз! Блокнотов в Windows не два! Еще два обнаруживаются в папке winsxs. А в 64-разрядной Windows их вообще шесть.

#drweb

Это связано с тем, что в папке System32 лежат 64-разрядные версии файлов, в том числе блокнот (я выделил еще одну занятную нестыковку Windows, уходящую корнями в прошлое). А в папке SysWOW64 хранится 32-разрядная версия notepad.exe, которая имеет свою жесткую ссылку в папке winsxs, в чем вы можете убедиться самостоятельно.

http://www.outsidethebox.ms/12735

#Windows #терминология

Антивирусная правДА! рекомендует

Симлинки и хардлинки упрощают работу пользователя, но их возможности используют и злоумышленники.

Поэтому, обнаружив троянца, не поленитесь запустить антивирусный сканер. Все ссылки на вредоносный файл должны быть найдены и уничтожены.

Оцените выпуск

Сделайте репост

Необходимо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.


Нам важно ваше мнение

Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.

Комментарии пользователей

Комментарии к другим выпускам | Мои комментарии

 
На страницу: