はじめに

Microsoft Defender for Endpoint（MDE）でRLOに関連する検知が発生した際、RecentのLNKファイルにもRLOを含むファイル名がログ上で確認された事例があると聞き、今回の検証を実施。

検証の目的

セキュリティ製品上のログ分析において、RLOを含むファイル名やLNKファイル名がどのように表示される可能性があるのか確認したい。

セキュリティ製品上でのログ分析における懸念事項

セキュリティ製品によって収集するログや表示するフィールドが異なるため、アラート上に表示されるファイル名がWindows上のどの情報を基にしているのか判断しにくい。

懸念事項を解消するために検証をする

複数の条件で検証し、エクスプローラー上の表示、実際のUnicode文字列、LNKのメタデータがそれぞれどのように見えるか確認する。

実行環境と使用ツール

実行環境

エディション：Windows 11 Home
バージョン：25H2
OSビルド：26200.9168

使用ツール

LECmd

Windowsのショートカットファイルを解析するための無料のコマンドラインツール。

前提知識

RLO（Right-to-Left Override）とは

Unicode制御文字の一種で、RLOを挿入した位置から文字の表示方向を右から左へ強制的に変更するために使用される。本来はアラビア語など右から左へ読む言語を含む双方向テキストを扱うための仕組みの一つだが、ファイル名の表示順を変化させることで拡張子偽装などに悪用されることがある。
対になる制御文字として、左から右方向に上書きするLRO（Left-to-Right Override / U+202D）がある。

例.)
通常の表示例
sample.txt
RLOによって表示順が反転した場合の例
txt.elpmas

RLOがどのように悪用されるのか

文字列そのものを書き換えるのではなく、表示時の文字方向を上書きできるため、ファイル名の視覚的な偽装に悪用されることがある。

例. batファイルをPDFに偽装

1. サンプルファイルを用意

@echo off
echo ==============================
echo WARNING: TEST FILE EXECUTED
echo ==============================
echo.
echo This is an RLO test file.
echo.
pause

2. サンプルファイル名をRLOで「fdp.bat」とする

　F2（名前を変更）→ 右クリック → Unicode制御文字の挿入 → RLOを選択

　→ ファイル名「fdp.bat」と入力すると「tab.pdf」と表示される

3. 「tab.pdf」を実行すると、batファイルが起動する

4. 項番2の手順で簡単な偽装は完成。今回のサンプルではアイコンや種類を見ればbatファイルと気づけるが、実際の攻撃では他の手法と組み合わせて高度な偽装がされることがある。

5. おまけ

今回の検証では、少し時間差があったもののMicrosoft Defenderによってサンプルファイルが検知・検疫された。検証を行う際は、セキュリティ製品によって検知される可能性がある点にも注意。

RecentのLNKファイル

Recentフォルダとは

ユーザーが最近開いたファイルやフォルダのショートカットを自動的に保存するシステムフォルダ。
フォルダパス：C:\Users\ユーザー名\AppData\Roaming\Microsoft\Windows\Recent
※C: は環境依存。

LNKファイルとは

Windowsで使用されるショートカットファイル。リンク先のファイル本体を格納するのではなく、リンク先を特定・参照するための情報や各種メタデータを保持している。

RecentのLNKファイル

ユーザーが最近開いたファイルやフォルダのショートカット。Windowsが自動的に作成し、「最近使った項目」や「クイックアクセス」などに表示させるための履歴として使われる。

検証

ファイル名にRLOが含まれている場合のLNKファイル情報確認

1. テストファイル「xslx.tset」（RLO適用後の表示）を作成し、開いておく。

2. Recentフォルダへ移動し、テストエクセルのショートカットが作成されていることを確認。エクスプローラー上ではRLOによる表示順の変化がLNKファイル名にも引き継がれている。

3. PowerShellでLNKファイル名にRLOのコードポイントが入っているか確認。U+202E（RLOのコードポイント）が含まれているので、LNKファイル名のUnicode文字列にRLOが含まれていることをコマンド上からも確認できた。

> $file = Get-ChildItem | Where-Object { $_.Extension -eq ".lnk" -and $_.Name -like "*test.xlsx*" } | Select-Object -First 1
> $file.Name.ToCharArray() | ForEach-Object {
>>     "U+{0:X4}  {1}" -f [int]$_, $_
>> }
U+202E  ‮
U+0074  t
U+0065  e
U+0073  s
U+0074  t
U+002E  .
U+0078  x
U+006C  l
U+0073  s
U+0078  x
U+002E  .
U+006C  l
U+006E  n
U+006B  k

4. LECmdでメタ情報確認。

実行コード

LECmd.exe -f "E:\test.xlsx.lnk"

結果（一部抜粋）

    --------- Block 0 (Beef0004) ---------
    Long name: ?test.xlsx
    Created:     2026-08-15 09:34:06
    Last access: 2026-08-15 09:34:08
    MFT entry/sequence #: 463271/4 (0x711A7/0x4)

5. 項番4の結果から以下の情報が分かる。

①Long name: ?test.xlsx について

・「?」の部分がRLOに相当する位置と思われる。ただし、LECmdによる解析またはコンソールへの出力過程で「?」と表示されている可能性もあるため、この結果のみからLNK内部でU+202Eが「?」に置換されて保存されているとは判断できない。

・RLOを挿入した位置は「?」と表示され、それ以降のファイル名は 「test.xlsx」 と論理順で確認できた。エクスプローラー上のRLOによる視覚的な表示とは異なる結果となった。

②MFT entry/sequence #: 463271/4 (0x711A7/0x4)

・今回は検証しないが、LECmdの解析結果からMFTエントリ番号とシーケンス番号を取得できているため、MFTECmdなどを用いて $MFT を解析し、対象ファイルのMFTレコードと照合することで、さらに調査を深掘りできそう。

本文にRLOが含まれている場合のLNKファイル情報確認

1. テストファイル「test2.xlsx」を作成し、ファイル内にRLOを含む文字を入力。

2. Recentフォルダへ移動し、テストエクセルのショートカットが作成されていることを確認。エクスプローラー上では通常の左から右の順序で表示されている。

3. PowerShellでLNKファイル名にRLOのコードポイントが入っていないことを確認。U+202E（RLOのコードポイント）が含まれていないので、LNKファイル名のUnicode文字列にRLOが含まれていないことをコマンド上からも確認できた。

> $file = Get-ChildItem | Where-Object {
>>     $_.Extension -eq ".lnk" -and $_.Name -like "*test2.xlsx*"
>> } | Select-Object -First 1
> $file.Name.ToCharArray() | ForEach-Object {
>>       "U+{0:X4}  {1}" -f [int]$_, $_
>>   }
U+0074  t
U+0065  e
U+0073  s
U+0074  t
U+0032  2
U+002E  .
U+0078  x
U+006C  l
U+0073  s
U+0078  x
U+002E  .
U+006C  l
U+006E  n
U+006B  k

4. ファイル内の文字列にRLOが含まれていることを確認。

4-1. test2.xlsx の拡張子を変更し、test2.zip とする。

4-2. zipファイルを展開し、test2\xl\sharedStrings.xml のコードを確認。ブログ上の表示では分かりにくいが、このコードの線を引いた部分にはRLOが含まれており、エディタ上でカーソルを移動させると文字方向の変化も確認できた。

<sst xmlns="http://schemas.openxmlformats.org/spreadsheetml/2006/main" count="1" uniqueCount="1">
<si>
<r>
<rPr>
<sz val="11"/>
<color theme="1"/>
<rFont val="Arial"/>
<family val="2"/>
<charset val="178"/>
</rPr>
<t>‮</t>
</r>
<r>
<rPr>
<sz val="11"/>
<color theme="1"/>
<rFont val="Calibri"/>
<family val="2"/>
<charset val="178"/>
</rPr>
<t>test.xlsx</t>
</r>
<phoneticPr fontId="1"/>
</si>
</sst>

4-3. PowerShellでも確認。Trueが返ってくるので、RLOが含まれている。

> Get-ChildItem sharedStrings.xml
> $text = Get-Content ".\sharedStrings.xml" -Raw -Encoding UTF8
> $text.Contains([char]0x202E)
True

5. LECmdでメタ情報確認。

実行コード

LECmd.exe -f "E:\test2.xlsx.lnk"

結果（一部抜粋）

    --------- Block 0 (Beef0004) ---------
    Long name: test2.xlsx
    Created:     2026-08-15 12:41:26
    Last access: 2026-08-15 12:41:26
    MFT entry/sequence #: 463313/4 (0x711D1/0x4)

6. 本文にRLOが含まれていても、Recentに生成されたLNKファイル名への影響は確認できなかった。また、LECmdのLong nameにもRLOに相当する表示は確認されなかった。

ファイル名にRLOを含むファイルをコピー後、RLOを削除してリネームした場合のLNKファイル情報確認

1. ファイル名にRLOを含むファイル「xslx.tset」（RLO適用後の表示）をコピーし、「test3.xlsx」にリネーム後開いておく。

2. Recentフォルダへ移動し、テストエクセルのショートカットが作成されていることを確認。エクスプローラー上では通常の左から右の順序で表示されている。

3. PowerShellでLNKファイル名にRLOのコードポイントが入っていないことを確認。U+202E（RLOのコードポイント）が含まれていないので、LNKファイル名のUnicode文字列にRLOが含まれていないことをコマンド上からも確認できた。

> $file = Get-ChildItem | Where-Object {
>>      $_.Extension -eq ".lnk" -and $_.Name -like "*test3.xlsx*"
>>  } | Select-Object -First 1
>  $file.Name.ToCharArray() | ForEach-Object {
>>        "U+{0:X4}  {1}" -f [int]$_, $_
>>    }
U+0074  t
U+0065  e
U+0073  s
U+0074  t
U+0033  3
U+002E  .
U+0078  x
U+006C  l
U+0073  s
U+0078  x
U+002E  .
U+006C  l
U+006E  n
U+006B  k

4. LECmdでメタ情報確認。

実行コード

LECmd.exe -f "E:\test3.xlsx.lnk"

結果（一部抜粋）

    --------- Block 0 (Beef0004) ---------
    Long name: test3.xlsx
    Created:     2026-08-16 04:01:58
    Last access: 2026-08-16 04:03:00
    MFT entry/sequence #: 463356/5 (0x711FC/0x5)

5. 項番3、4の結果から、RLOを含むファイルをコピーした後、ファイル名からRLOを削除してリネームした場合、今回生成されたLNKファイル名およびLECmdで確認したLong nameにはRLOの痕跡は確認できなかった。

その他

ファイル名にRLOが含まれている場合、Windowsのショートカットエラーに表示されるファイル名にもRLOによる表示順の変化が反映されることを確認できた。

検証結果

今回の検証では、「ファイル名にRLOを含めた場合」「Excelファイルの本文にのみRLOを含めた場合」「RLOを含むファイルをコピー後、ファイル名からRLOを削除した場合」の3パターンについて、Recentフォルダに生成されるLNKファイルを比較した。

ファイル名にRLO（U+202E）が含まれている場合、Recentフォルダに生成されたLNKファイル名にもU+202Eが含まれていることを確認できた。一方、本文にのみRLOを含めた場合や、RLOを含むファイルをコピーした後にRLOを削除してリネームしてから開いた場合には、生成されたLNKファイル名からU+202Eは確認されなかった。
以上から、今回の検証環境および検証した条件ではRecentに生成されたLNKファイル名のRLOは文書本文やコピー元の過去のファイル名に由来する挙動は確認されず、対象ファイルを開いた時点のファイル名が反映されている可能性が高いと考えられる。

最後に

アラート分析の際にRLOを含むLNKファイル名が確認された場合や、?test.xlsx のようにファイル名に通常とは異なる記号が表示されている場合は、RLOなどのUnicode制御文字を利用したファイル名偽装の可能性も考慮して調査するのがよさそう。
MDEのログ上では、LNKファイル名にもRLOが含まれているように表示された事例があったようだが、セキュリティ製品によって取得するログや表示するフィールド、文字の表現方法などが異なる可能性があるため、アラート上の表示だけで判断せず、可能であれば実ファイル名のUnicodeコードポイントやLNKファイルの情報もあわせて確認したい。

はじめに

不審サイトの調査などで Chrome DevTools をよく使うので自分用メモ。
ここでは概要をつかむための簡単な解説だけ。詳細はいずれ別記事で書けたら書く。

DevTools とは

DevTools（デブツールズ）は、Webブラウザに標準搭載されている「開発者向けツール」。
画面上の要素を調べてデザイン崩れを修正したり、ネットワーク通信を確認して読み込みエラーを特定したり、
コンソールでエラーメッセージやログを確認したりできる。
名前の通り、本来は開発者向けツールだがセキュリティ調査でも補助ツールとして使われる。

今回は Chrome に搭載されている DevTools の機能を解説。

DevTools の概要

DevTools の開き方

Macの場合
Cmd + option + I

Windowsの場合
Ctrl + Shift + C もしくは F12

DevTools 画面例

DevTools のパネルメニュー

セキュリティの観点で各パネルをどのように利用するか記載。

Elements（エレメンツ）

用途：Webページの構造（HTML）やクライアント側のDOM要素¹を確認。

使用例：
悪意あるスクリプト（例：<script>タグ内のXSSペイロード）をページ内で検出できる。
inputフォームの属性（maxlengthやrequiredなど）を確認してクライアントサイド検証の甘さを見抜く。
非表示（display:none）の要素や、意図的に隠されたトークン値などもDOM上で確認可能。

Console（コンソール）

用途：ブラウザで発生しているJavaScriptエラー・警告の確認。

使用例：
脆弱なスクリプト読み込み（HTTP通信など）が警告として出る。
エラー文から内部APIのエンドポイントや認証処理の構造が推測できる場合もある。
XSSテスト時にペイロードが実行されているか確認するのにも使える。

Sources（ソース）

用途：JavaScriptやCSS、画像ファイルの確認。

使用例：
公開されている .js ファイルから機密ロジックやAPIキーのハードコーディング²を発見できる。
JSのマップファイル（.map）が残っていると難読化されたコードを簡単に復元できる。
コメント内に内部仕様やURLが書かれていないか確認できる。

Network（ネットワーク）

用途：Webページがやり取りしている通信（HTTPリクエスト・レスポンス）を確認。

使用例：
HTTPヘッダー（Cookie, Authorization, CSP, CORSなど）を確認できる。
CookieのSecure / HttpOnly / SameSite 属性の設定をチェック。
API通信のレスポンスを観察して、過剰情報漏えい（PII³や内部ID）がないか確認できる。

Performance（パフォーマンス）

用途：処理や描画のタイミングを計測し、スクリプト挙動を把握。（Webページが“どんなタイミング”で“何をしているか”を記録して、時間軸で見える化するツール）

使用例：
攻撃者が仕込んだマルウェアスクリプトや追跡コードが異常にCPUを消費していないかを確認できる。
通常とは異なるタイミングで外部通信が発生していないかを監視可能。

Memory（メモリ）

用途：Webアプリの動作中に使われるメモリの状態を分析。

使用例：
クライアント側で扱っているデータが、不要に保持・漏洩していないか確認できる。
セッション情報やトークンがメモリ上に残り続けていないかを調査。

Application（アプリケーション）

用途：ブラウザに保存されたデータ（Cookie、LocalStorageなど）を確認。

使用例：
LocalStorageやSessionStorageにアクセストークンや個人情報が保存されていないか確認。
Cookie設定（Secure / HttpOnly / SameSite）を確認して脆弱な設定を検出。
キャッシュデータやService Workerの構成から、古いリソースが残っていないか確認。

Privacy and Security（プライバシーとセキュリティ）

用途：通信の安全性と証明書状態を確認。

使用例：
SSL/TLS証明書の有効期限・暗号スイートを確認。
Mixed Content（HTTPSページ内でHTTPリソースを読み込む危険な構成）があるか検出。
Cookieの追跡情報やセキュリティポリシーの確認にも使える。

Lighthouse（ライトハウス）

用途：Webサイト全体を自動診断（パフォーマンス・セキュリティ・アクセシビリティなど）。

使用例：
HTTPSが有効か、セキュリティヘッダー（CSP、X-Frame-Optionsなど）が設定されているか自動チェック。
セキュリティ的な改善ポイントをレポート形式で提示してくれる。

Recorder（レコーダー）

用途：操作の記録・再生（Webアプリの自動テスト）。

使用例：
CSRFテストなどで再現性を保つための操作手順を自動記録できる。
ペネトレーションテスト時に攻撃パターンを再生・再現する用途でも使われる。　…かも。（ChatGPTに聞いたけど、本当にそのような使い方がされているのか調べきれなかった。）

1. DOM（ブラウザがHTMLを解析して作るページの構造モデル）内の1つ1つの部品（例：div, p, inputなど）。 ↩︎
2. 設定や機密情報をプログラムの中に直接書いてしまうこと。 ↩︎
3. 個人情報。 ↩︎

最後に

簡易調査で限られた機能しか使っていなかったので、まとめ用に調べてみると思っていたよりもできることが多そう。もう少し使いこなせるようになりたい。

awkコマンドとは

awk（オーク）はテキストを1行ずつ読みながら、1行をいくつかの列（フィールド）に分けて読む・抜き出す・加工するためのコマンド。
たとえば、ログの「3列目だけ取りたい」時にawkが便利。

awkの基本構文

awk の基本構文は以下。

awk 'パターン { アクション }' ファイル名

パターン＝どんな行を選ぶか
アクション＝その行で何をするか

ざっくり言うと 「ファイルの中で、〇〇な行があったら、△△をする」。

awkの基本をサンプルから覚える

サンプル

サンプルとして使用するファイルの内容。
各行は「名前・年齢・都市・職業」の4つのフィールドで構成されている。

# sample.txt
Alice   25  Tokyo     Engineer
Bob     30  Osaka     Manager
Charlie 28  Nagoya    Designer
David   35  Fukuoka   Engineer
Eve     22  Tokyo     Intern

サンプルファイルの分解

タブやスペースごとに awk が自動で以下表のように読み込んでくれる。

実際に動かしてみる

行全体を表示

print で出力し、$0 でその行全体（すべてのフィールド）を指定。

$ awk '{print $0}' sample.txt

ファイル全体を見たいなら cat でいい気がするので、実務では使わないかも。

# sample.txt
Alice   25  Tokyo     Engineer
Bob     30  Osaka     Manager
Charlie 28  Nagoya    Designer
David   35  Fukuoka   Engineer
Eve     22  Tokyo     Intern

1列目（名前）だけ表示

$1 で名前フィールドを出力。

$ awk '{print $1}' sample.txt

これだけだとコメント（#）まで出力されてしまうので、実務ではもう少し条件を絞った方がよさそう。

#
Alice
Bob
Charlie
David
Eve

コメント（#）を除外

! = ～でない、/文字列/ = 正規表現の始まりと終わりを示す囲み記号、^ = 先頭行 の意味。
先頭行がコメント（#）でない名前フィールドを出力。

$ awk '!/^#/ {print $1}' sample.txt

コメント（#）が除外され、名前のフィールドだけが出力される。

Alice
Bob
Charlie
David
Eve

名前と都市を表示

$1 で名前フィールド、$3 で都市フィールドを指定。

$ awk '{print $1, $3}' sample.txt

それぞれのフィールドが正しく抽出されている。

# 
Alice Tokyo
Bob Osaka
Charlie Nagoya
David Fukuoka
Eve Tokyo

Tokyo に住んでいる人だけ表示

$3 を == で Tokyo 指定。

$ awk '$3 == "Tokyo" {print $0}' sample.txt

Tokyo に住んでいる人だけが抽出される。

Alice   25  Tokyo     Engineer
Eve     22  Tokyo     Intern

年齢が30歳以上の人だけ表示

$2 >= 30 で指定。ついでにコメントも && でつなげて除外しておく。

$ awk '!/^#/ && $2 >= 30 {print $1, $2}' sample.txt

30歳以上の人だけが抽出される。

Bob 30
David 35

Engineerの人数を数える

$4 == “Engineer” で エンジニアを指定、{count++} で条件が真なら count を 1 増やす、END {print count} でファイルを全部読み終わったあとに出力。

$ awk '$4 == "Engineer" {count++} END {print count}' sample.txt

きちんとカウントされている。

2

平均年齢を計算

{sum += $2; count++} で 2 列目（年齢）の値を合計し、行数を 1 増やす。
END {print sum/count} でファイルをすべて読み終えたあとに平均を出力する。
※今回はカウント処理を行うため、コメント（#）のスキップが必須。

; は改行と同じ意味。

$ awk '!/^#/ {sum += $2; count++} END {print sum/count}' sample.txt

平均年齢が出力される。

28

このコマンドの動きは以下の通り。

都市ごとの人数を集計

{city[$3]++} で 3 列目（都市名）をキーとしてカウントする。
END { … } はファイルをすべて読み終えたあとに 1 回だけ実行される処理。
for (c in city) ですべての都市（キー）を順に処理し、
print c, city[c] で都市名と人数を出力する。
※今回はカウントをしているのでコメントのスキップは必須。

$ awk '!/^#/ {city[$3]++} END {for (c in city) print c, city[c]}' sample.txt 

都市ごとの人数が出力される。

Osaka 1
Fukuoka 1
Nagoya 1
Tokyo 2

このコマンドの動きは以下の通り。

疑問に思ったこと

文章ベースのファイルにはawkコマンドは使えないのか

たとえば、

Aliceは東京で働いています。
Bobは大阪に住んでいます。
Charlieは28歳です。

という文章ファイルがあった場合、awk の使いどころがあるのか気になった。

awk の動きとしては「スペースやタブで明確に区切られていない」文章だと、

$1 Aliceは東京で働いています。
$1 Bobは大阪に住んでいます。
$1 Charlieは28歳です。

となり、すべて $1 になるのでフィールド分けができず、awk の長所は活かせない。

一応、grep のように抽出することは可能。

$ awk '/東京/ {print $0}' sample_text.txt
Aliceは東京で働いています。

$ awk '/[0-9]+歳/ {print $0}' sample_text.txt
Charlieは28歳です。

行番号を付けることもできる。

$ awk '{print NR, $0}' sample_text.txt
1 Aliceは東京で働いています。
2 Bobは大阪に住んでいます。
3 Charlieは28歳です。

結論としては、awk でも文章ファイルの操作はある程度できるけど、本来の用途とは離れており、わざわざ awk で文章ファイルを操作する必要はなさそう。