01Konum
- <file>:Zone.Identifier (named $DATA attribute on NTFS)
02Yanıtladığı sorular
- Bir dosya İnternet'ten veya kısıtlı bir bölgeden mi geldi (tarayıcı indirmesi, e-posta eki)?
- Dosya için hangi bölge kaydedildi?
- İşaret kaldırıldı mı, akış ne zaman eklendi veya kaldırıldı?
03Biçim ve sürümler
| Biçim | [ZoneTransfer] bölümü ve ZoneId=<n> içeren INI benzeri metin akışı; n bir URLZONE değeridir: 0 yerel bilgisayar, 1 yerel intranet, 2 güvenilen siteler, 3 İnternet, 4 kısıtlı siteler. |
|---|---|
| Geçerli olduğu sürümler | NTFS'teki dosyalar; Mark of the Web, FAT32'ye kaydedilen dosyalara uygulanmaz. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| [ZoneTransfer] | Akışın bölüm başlığı. |
| ZoneId | Kaynak bölgenin URLZONE numarası. |
| Stream presence in $MFT | Dosyanın MFT girdisindeki 'Zone.Identifier' adlı $DATA özniteliği. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| $UsnJrnl record for the stream | FILETIME (UTC) | Adlandırılmış bir akışın eklenmesi veya kaldırılması USN_REASON_STREAM_CHANGE ile kaydedilir; yazmalar NAMED_DATA_* bayraklarını kullanır. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Dizin listelerine güvenmek yerine adlandırılmış veri akışlarını $MFT'den listeleyin.
- Her Zone.Identifier akışını okuyun ve ZoneId'yi URLZONE anlamına eşleyin.
- İşaretlerin ne zaman eklendiğini veya kaldırıldığını zamanlamak için $UsnJrnl'de STREAM_CHANGE kayıtlarını arayın.
- Tarayıcı indirme geçmişi, e-posta artefaktları ve LNK dosyalarıyla ilişkilendirin.
07Yorum tuzakları
- İşaret varsayılan olarak yalnızca İnternet ve Kısıtlı siteler bölgeleri için eklenir; yokluğu dosyanın yerel kaynaklı olduğunu kanıtlamaz.
- Kullanıcılar işareti kaldırabilir (Özellikler > Engellemeyi kaldır veya Unblock-File); OneDrive istemcisiyle eşitlenen veya 'Open in Desktop App' ile açılan dosyalar işaret almaz.
- İşaret yalnızca NTFS'te bulunur; FAT32'de saklanan dosyalar bunu taşımaz.
09Kaynaklar
- Macros from the internet are blocked by default in Office Microsoft Learn · erişim 2026-10-14
- URLZONE enumeration Microsoft Learn · erişim 2026-10-14
- New Technologies File System (NTFS) libyal / libfsntfs (J. Metz) · erişim 2026-10-14
- USN_RECORD_V2 structure (winioctl.h) Microsoft Learn · erişim 2026-10-14