「Windowsの「God Mode」を悪用して実行ファイルを隠蔽するマルウェア、名前に予約語を使って削除も回避」記事へのコメント

他にも手口色々あるよ

[Anonymous Coward]

親フォルダへのシンボリックリンクよる循環参照をすると、なぜかexplorer.exe内で検索をかけても見つからないようになるバグがあったけど、それと同じぐらい恐ろしいですね。
あと、地味に文字列の方向を右から左に変えて「a.exeを」を「exe.a」に見せちゃうやつとか、併用されると恐ろしい。このへんの対策もぜひウイルス対策ソフトに頑張ってもらいたい。
あと、*.comって*.exeと同等の実行可能ファイルだよね。

Re:他にも手口色々あるよ

[Anonymous Coward]

> あと、*.comって*.exeと同等の実行可能ファイルだよね。

MS-DOS/Win9X 系では実行ファイルの拡張子だが NT系の Windows の場合は、そうなってない。
exe と com はファイルフォーマットも違うし、ロード/実行の流れも違う。

Re:他にも手口色々あるよ

[StandardIO (47182)]

そうなんですか?
*.exeを*.comに拡張子を変更しても動いてしまうことが「同等」ということです。

Re:他にも手口色々あるよ

[shibuya (17159)]

.pptでも.docでも.xlsでもオッケーで、果ては.txtでも実行されたらどうしよう。

// 64bit環境だったら .com は動かないと信じている人にも救済策を。

Re:

[Anonymous Coward]

カーネルレベルでは拡張子関係ないよ。シェルが*.com *.exe以外は自動的に実行ファイルとして実行しないだけ。

Re:

[Anonymous Coward]

64ビット版Windowsにもmore.comが入っている件…

Re:

[Anonymous Coward]

元々のcomはヘッダーがついてないけど
Windowsで動くcomは実態はexeで名前だけcom。

comはexeよりも実行時の優先順位が高いから
moreではmore.comを最初に起動してそこからmore.exeを起動するみたいになってたはず。

ちなみにWindowsのexeは(DOSのexe情報の後ろにWindowsのexe情報が入ってる)拡張されたexe。
今となってはもうないだろうけど
一つの実行ファイルにDOSプログラムとWindowsプログラムを入れることができる。
(通常は「これはWindows用です」とか表示するDOSプログラムが入ってるが)

Re:

[Anonymous Coward]

それはMS-DOS時代からの伝統。
.comと.exeは実質的に等価。

ちなみに内部的には最初の2byteが'MZ'かどうかでいわゆる.exeなのかどうか判断してるだけ。
だから.exeファイルの先頭の2byteを適当に書き換えると.exeファイルと認識出来なくなるし
.comファイルでも意図的に先頭2byteを'MZ'とすればexe headerがついてると誤認識する。

Re:

[Anonymous Coward]

format.comを知らねえのかよお前