Заметка началась с небольшой просьбы, найти сигнатуру ярлыка (shortcut) Windows, т.е. LNK-файла, а вылезло несколько интересных вещей, которые стоит оставить, как зарубку на память.

Отвечаю на поставленный вопрос. Любой файл LNK начинается с четырех байт (hex):

4C 00 00 00

Так вот, почему ярлык шпиона? Да потому что ярлык, кроме указания пути к файлу, на который он ссылается, рабочего каталога и типа окна открытого файла (программы) сохраняет странные и непонятно для чего нужные метаданные:

— исходный путь файла и его временные метки (полный путь, время доступа к целевому файлу (UTC), время создания целевого файла (UTC), время изменения целевого файла (UTC)).
— тип тома, с которого файл был открыт (съемный носитель, обычный том, виртуальный том)
— серийный номер тома (серийный номер привода)
— метка тома
— NetBIOS-имя устройства (сетевое имя компьютера)
— MAC-адрес устройства. Впрочем, MAC-адрес устанавливается по какому-то странному алгоритму, на машине с несколькими сетевыми картами оно получается несколько рандомно. Не совсем понял, как это устроено, кто знает — напишите в комментариях.
— размер целевого файла (байт) — размер файла, с которым ассоциирован ярлык

Зачем это делается, не совсем понятно.

Почитать подробнее можно по следующим ссылкам:
— Токсичные ярлыки в Windows: старый артефакт, не забытый хакерами, но частично забытый криминалистами (копия в PDF)
— Какую информацию можно получить из ярлыка? (копия в PDF)

В первой статье анализ проводился платными программами для расследования инцидентов кибербезопасности, но кое-что можно посмотреть и бесплатно, программой Windows File Analyzer, описана во второй статье, не буду повторяться, оставлю ссылки на скачивание:
— С сайта разработчика
— Копия на Mega.nz

Известно, что Office и некоторые другие программы хранят ярлыки последних сохраненных документов в специальных каталогах для того, чтобы потом показывать пользователю список открытых документов. Так вот, решил провести эксперимент — создать файл с каким-нибудь красноречивым компрометирующим именем, а потом изменить свойства ярлыка и посмотреть, что получится.
Итак, создаем пустой файл с именем, например, PutinBombaVzryvChechency.doc и создаем ярлык. Смотрим содержимое ярлыка в шестнадцатеричном редакторе (красным выделил сигнатуру файла LNK):

Создаем файл kotik.doc и пытаемся поменять ярлык через «Свойства ярлыка», на несуществующий файл ссылку стандартным способом сделать нельзя, потому делаем на существующий файл:

Проверяем, открывая измененный ярлык в HEX-редакторе.

Пробуем изменить ярлык программно, с помощью класса vbAccelerator.Components.Shell, через WinAPI (копия заметки):

string lnkname = @"C:\Temp\PutinBombaVzryvChechency.doc - Ярлык.lnk";
ShellLink lnk = new ShellLink();

lnk.Open(lnkname);
lnk.Target = "X:\\NoFile.doc";
lnk.WorkingDirectory = "X:\\";
lnk.Save();

Проверяем в HEX-редакторе:

Все еще хуже.

Подробной гипотезы о том, почему оно так работает, у меня нет, но к определенным мыслям это приводит. Например, при удалении ярлыков последних документов их лучше всего удалять безопасным удалением (т.е. с полной перезаписью содержимого файла LNK). Конечно, можно разобраться в формате файла (тем более, он опубликован), но мало ли что MS добавит туда в будущем. А в целом, ситуация дискомфортная, даже если и ложечки найдутся, осадок останется, т.к. обычно мало кто обращает внимание на такую незначительную мелочь, как ярлык, а восстанавливаются (если они были удалены стандартным образом) они достаточно просто, сигнатурным поиском по диску.

1. Жмем по пустому месту в панели задач, идем в Свойства

2. Переключаемся на вкладку Меню «Пуск» и снимаем галочку Хранить и отображать список недавно открывшихся элементов в меню «Пуск» и на панели задач

3. Можно также добавить в Реестр следующий параметр (сохранить следующий код в файл с расширением .reg и запустить):

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoRecentDocsMenu"=dword:00000001

NoRecentDocs.reg на GitHub

Это отключит меню «Последние файлы» и заблокирует вышеупомянутую галочку

4. Можно еще сходить в C:\Users\<имя пользователя>\Recent\ и подчистить там лишние ярлыки.

Заметка из серии «не пролюбилось шоб» и «шоб все знали, где искать». На работе астрологи бухгалтерия объявила неделю инвентаризации и, соответственно, тестирования железа. Поскольку добровольные и недобровольные помощники меня читают, пусть висит тут.

Утилита уже пожилая, но лучше еще никто не придумал. И она запускается и нормально работает из Windows PE, что на базе XP, что на базе Windows 7

Для удобства утилита упакована в RAR SFX-архив (мало ли кто будет качать на машину без установленных архиваторов)

Последняя официальная версия. Минус — на системах x64 не работает, только x86.

Скачать Victoria 4.46b с Mega.NZ (RAR SFX)

Пропатченная белорусскими умельцами версия. Один из плюсов — работает на x64 системах (но в режиме API). На x86 в т.ч. на XP и XP PE тоже работает. Минус (относительный) — показывает график вместо привычной карты диска.

Список исправлений в версии 4.47:

1) возможен запуск на x64 виндах (доступен только режим API)
2) процесс сканирования не останавливается в случайных местах
3) возможно случайное сканирование на дисках более 1TB
4) можно свободно сворачивать окно программы не боясь за процесс сканирования (даже рекомендую сворачивать окно)
5) возможно сканирование за один проход дисков более 1TB (визуальное отображение секторов при этом отключается)
6) ругательства на драйвер PortTalk теперь производятся в лог
————————————
E-mail: syshwid@gmail.com

Скачать Victoria 4.47 с Mega.NZ (RAR SFX)

exit /B

Ключ /B обязателен! Если использовать просто exit — закроется командный интерпретатор.

Можно использовать для проверки параметров в командной строке.

if "%~1"=="" (
	echo Use %0 ^<address^>
	echo Address must be without http://, https:// or www
	echo e.g. riseup.net
	pause
	exit /B
)

Аналог VAR=`program` в bash.

for /f %%i in ('program') do set "API_URI=%%i"& goto f1
:f1

Пример:

for /f %%i in ('bin\jq .api_uri %WORKDIR%/provider.json') do set "API_URI=%%i"& goto f1
:f1

Источник

Статья на Киберфоруме Копия в PDF

В BAT/CMD файле некоторые символы (перенаправления > и <, конвейера |, символ &, указание переменной %) считаются специальными. Если символ должен быть включен в команду как символ, могут быть глюки. Перед символом нужно указать символ экранирования: ^ (крышку).

Пример:

echo Use batfile.bat ^<address^>

(выведет на экран Use batfile.bat <address>)

Источник Копия в PDF Там есть и другие полезные штуковины.

Например, надо удалить из переменной %VAR% все кавычки:

set VAR=%VAR:"=%

Источник Копия в PDF В источнике есть и другие примеры работы со строками.