Confusione nella comprensione del fork dei dati, del fork delle risorse e del formato del file MachO se visualizzati tutti insieme

1

Nota: sono un neofita del mondo OS X. Quindi, ti prego, rilassati se chiedo qualcosa di nonno.

Secondo quanto ho letto / compreso: il layout del file di MachO consiste in un'intestazione, comandi di caricamento e segmenti di dati che contengono istruzioni o dati eseguibili. Ma dopo aver letto di fork s (data & resource) sono confuso.

Confusione: nei file HFS non sono monolitici e non consistono in un singolo segmento. I file Apple Mac di solito esistono su due file fork di dati e fork di risorse. Hanno un nome identico e vengono visualizzati da Mac come un singolo file. Il fork delle risorse contiene il codice del programma in execuatables.

Come ho riflettuto qui? Ho copiato un file denominato nomefile da un Mac alla mia pendrive e l'ho aperto su file risultato 2 di Windows. Nomefile e nome file.

Domanda: dove si inseriscono queste forcelle nel layout del file? Non vi è alcuna menzione nel layout del file sulle forche. Queste due biforcazioni sono integrate per creare un file mach finale? Il nome_file (fork delle risorse) può contenere codice dannoso?

    
posta rebel87 19.05.2015 - 15:12
fonte

1 risposta

4

Il file ._filename non contiene solo il fork delle risorse, contiene anche i metadati del Finder, in il formato AppleDouble .

Il fork delle risorse stesso può essere visualizzato su un volume HFS aprendo filename/..namedfork/rsrc . Le forcelle e altri attributi estesi possono essere elencati utilizzando ls -l@ .

I fork delle risorse non sono specifici per il formato Mach-O (e non so se vengono utilizzati affatto), sono una funzionalità del classico Mac OS che è stata ampiamente utilizzata per i file di applicazioni classiche e potrebbe memorizzare cose come tabelle di stringhe, immagini bitmap, ecc.

Il codice dannoso può essere nascosto ovunque, un programma antivirus dovrebbe essere in grado di rilevarlo anche se è nascosto in un fork delle risorse.

    
risposta data 19.05.2015 - 15:36
fonte

Leggi altre domande sui tag