從Windows 8內置SmartScreen看文件流

 　　SmartScreen功能原本是為了保護用戶不進入危險或仿冒的網站的，在Windows 8當中，這功能已經被系統接受。如果你打開一個從網絡上面下載的程序，就會得到以下提示：

　　系統會在打開文件的時候檢查該文件，如果不符合某些規則就彈出提示框。筆者最開始在使用Windows 8 的時候就被這樣的提示迷惑了，認為程序壞掉了。其實是系統對於文件的處理不同了。網絡上關於關閉它的方法也就很多，這裡不是重點，我們來看看到底是文件的什麼地方會讓系統認為它不安全。

　　對於其點擊右鍵，可以發現在屬性當中的最下面多了一小部分(紅色框)：

　　提示我們這個文件是從別的地方獲取到的，因此為了安全，系統自動鎖上了，點擊按鈕就可以解鎖並正常訪問了，之後也不會再次提醒。在學習NTFS的時候發現了其中的秘密：系統使用一個特殊的文件流來保存這個信息，而使用普通方法是看不到這樣的內容。而該文件流的流名字是Zone.Identifier，大小只有20來字節，查看的話需要使用命令提示符來進行，在命令提示符當中輸入：

　　more < IFEO_V2.exe:Zone.Identifier

　　就會看到如下內容：

　　[ZoneTransfer]

　　ZoneId=3

　　這其實就是一個標識符，其中ZoneId代表了所在的區域。這裡的區域是對應於IE當中的區域設置，1代表受信任的站點，2代表本地Intranet，3代表Internet，4代表受限制的站點。根據默認設置，1和2都可以正常使用而沒有提示，3就會得到如上提示。如果ZoneId為4就會得到下面的錯誤信息：

　　系統認為這是一個不信任的程序，因此系統拒絕打開該文件。在此，除非手動解鎖或者調整安全設置，這個程序是運行不了的。

　　微軟提供了一個查看文件流的工具： streams.exe 使用該工具可以查看某些文件或文件夾的文件流，它可以列出流的大小和名字等詳細信息。查看一個文件流具體內容使用 “more < 文件名:流名稱”即可(不含引號)。由於Windows當中要求文件名不能包含冒號，所以使用常用的桌面程序是無法打開該流裡邊的內容的。