在 Windows 中阻止文件是什么意思？

Question

当某些文件从 Internet 下载时，它们会被阻止。某些文件即使被阻止仍然可以打开...

我可以通过打开文件属性（右键单击 > 属性）并查看“常规”选项卡 >“安全性”（在“属性”部分的正下方）来查看文件是否被阻止。

见参考：

文件被阻止是什么意思？文件在阻止状态与未阻止状态下的行为有何不同？

Answer 1

这是由备用数据流驱动的。如果文件已从 Internet 区域下载（例如），Windows 会将文件标记为可能不受信任，并将禁止执行。

作为旁注，Sysinternals 提供了一个名为“流”（通过 Microsoft）的免费工具，它允许您从文件/目录中删除（包括递归）所有备用流。

作为第二个旁注，Windows 这样做的原因是因为它是一种构建木马或病毒的相当简单的方法。作为此简要的讨论在这里。

2009 年，替代数据流被名为 FFSearcher 的点击欺诈木马使用。它使用流名称“Zone.Identifier”，这是微软用来标记 Internet Explorer 下载的可执行文件的流名称。然而，木马植入了一个包含木马代码的 DLL 文件，而不是简单的区域标识符。