从文件句柄或文件ID打开备用数据流（ADS）

Question

我想使用文件的现有句柄或使用文件ID打开文件的备用数据流。我找到的唯一方法是使用全名（文件名+ ADS名称）。 我担心在操作过程中重命名文件。

有办法吗？

Answer 1

使用NtOpenFile或NtCreateFile

非常容易

例如，在hFile

上打开现有ADS

NTSTATUS OpenADS(PHANDLE FileHandle, ACCESS_MASK DesiredAccess, HANDLE hFile, PCWSTR Name)
{
    IO_STATUS_BLOCK iosb;
    UNICODE_STRING ObjectName;
    RtlInitUnicodeString(&ObjectName, Name);
    OBJECT_ATTRIBUTES oa = { sizeof(oa), hFile, &ObjectName };
    return NtOpenFile(FileHandle, DesiredAccess, &oa, &iosb, FILE_SHARE_VALID_FLAGS, FILE_SYNCHRONOUS_IO_NONALERT);
}

其中Name类似于L":test_stream"（以:开头）