なぜNTFSは目に見えない実行可能ファイルを許可するのですか？

次のように入力するだけで、別のファイル内のファイルを非表示にできます。

type sol.exe > container.txt:sol.exe

隠しファイルを実行するには、次を使用します：

start c:\hide\container.txt:sol.exe

しかし、これに関する最大の問題は、ファイルのサイズが大きくならないことです（したがって、完全に非表示になります）。

また、隠しファイルが含まれているファイルを削除しても、隠しファイルは削除されません。ただ使用する：

more <  container.txt:sol.exe > sol.exe

NTFSでこれが許可されるのはなぜですか？ウイルスを隠す最良の方法のようです。

この質問には2つの側面があります。1つ目は、この機能がまったく存在しない理由であり、2つ目は、GUI（またはコマンドプロンプト）が機能の表示と管理を容易にしない理由です。

有用だからです。他のいくつかのプラットフォームは、ファイルごとに複数のデータストリームをサポートしています。Macでは、たとえばforksと呼ばれていました。メインフレームの世界にも同様のものが存在することは合理的に確信していますが、今日の明確な例に指を当てることはできません。

最新のWindowsでは、ファイルの追加属性を保持するために使用されます。Windowsエクスプローラーから利用できる[プロパティ]ボックスには、シンプルビュー（Windows XPの場合、他のフレーバーとは異なります）に[タイトル]、[件名]、[作成者]などの便利なフィールドがあり、など。そのデータは、ある種のサイドカーデータベースを作成してファイルから簡単に分離されるすべてを保持するのではなく、代替ストリームに格納されます。

代替ストリームは、ファイルがダウンロード時にInternet ExplorerとFirefoxの両方によって適用される信頼されていないネットワークソースから来たことを示すマーカーを保持するためにも使用されます。

難しい質問は、ストリームがまったく存在しないことに気付くための優れたユーザーインターフェイスがない理由と、実行可能なコンテンツをストリームに入れることができ、さらに悪いことに、後で実行することができる理由です。ここにバグとセキュリティリスクがある場合、これがそれです。

編集：

別の回答へのコメントに触発されて、ここでは、アンチウイルスおよび/またはマルウェア対策が代替ストリームを認識しているかどうかを確認する1つの方法を紹介します。

EICARテストファイルのコピーを取得します。有効なx86実行可能ファイルでもあるのは、68バイトのASCIIテキストです。完全に無害ですが、アンチウイルス業界によって、あたかも本物のウイルスであるかのように検出されることに同意しています。発信者は、本物のウイルスを使用してAVソフトウェアをテストすることは、ごみ箱に火をつけて火災警報器をテストすることに少し似ていると考えていました...

EICARファイルは次のとおりです。

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

拡張機能で保存すると、.COM（AVが注意を払っていない限り）実行され、グリーティングが印刷されます。

代替データストリームに保存してスキャンを実行すると有益です。

この機能は、Windows Serverのクロスプラットフォーム機能（mac用サービス）に必要です。

これにより、NTFSで実行されているWindowsサーバーがAFP経由でMacに共有できます。この機能を機能させるには、NTFSファイルシステムがフォークをサポートする必要があり、初日からサポートされています。

質問する前に、この機能はまだ使用されていますか？はい、サポートしているクライアントのサーバーで毎日実行して使用しています。

主なセキュリティの問題は、人やアプリケーションがそこにあることを忘れたり、気付かないときに発生します。

おそらく、合計ファイルサイズにフォークを含めるか、Windowsエクスプローラーで表示するオプションがあるはずです。

私は、主な用途の1つ（おそらく意図した用途であっても）が、あらゆる種類のメタデータをファイルに透過的に追加できるようになることを想像しています。ファイルサイズが変更されない理由は、このシナリオでは、元のアプリケーションがファイルの外観の一部に依存しないように、ファイルの外観や動作を変更したくないためです。

たとえば、IDEで興味深い用途を想像できます。複数のファイルが1つのユニット（コードファイル/フォームファイルなど）を形成するために関与する場合があります。

また、特定のディレクトリツリーでそのようなすべての「添付ファイル」を検索するコマンドがあるため、実際には完全に非表示にならないと考えています。また、優れたウイルススキャナーがこれを認識せず、これらの「隠された」領域をチェックすると驚かされますが、故意に感染した実行可能ファイルをテキストファイルに添付し、それが取得されるかどうかを確認することができます。

これは、Alternate Data Streamsによってもたらされる潜在的なセキュリティ脆弱性に関する優れた記事です。

良い質問です。私は昨年までADSを適切に認識していませんでした。私は長年Windows開発者でした。私はこれについて一人ではないことを保証できます。

ファイルの代替データをチェックできることに関して、フランク・ハイネソフトウェアから入手できるLadsと呼ばれる便利な小さなツールが見つかりました。暗号化されたファイル（およびサブディレクトリ内）を含む、特定のディレクトリ内のすべてのファイルのADSを一覧表示できます。