参考:
(1)工具篇:如何分析恶意文档【http://www[.]4hou.com/technology/2634[.]html】
(2)OLE文档分析工具之oletools介绍
【http://ahageek[.]com/blog/oletools-introduce/】
(3)github oletools
【https://github[.]com/decalage2/oletools】
(4)垃圾邮件分析实例
【http://blog[.]51cto[.]com/skytina/2051426】
(5)恶意邮件里的doc文件解析
【http://www[.]freebuf[.]com/articles/82814.html】
(6)oledump.py使用
【https://blog[.]didierstevens[.]com/2014/12/17/introducing-oledump-py/】
(7)工具集
【http://www[.]malware-analyzer[.]com/document-analysis-tools】
(8)officeMalScan使用
【https://www[.]aldeid[.]com/wiki/OfficeMalScanner/OfficeMalScanner】
十余年的崇明网站建设经验,针对设计、前端、开发、售后、文案、推广等六对一服务,响应快,48小时及时工作处理。成都全网营销的优势是能够根据用户设备显示端的尺寸不同,自动调整崇明建站的显示方式,使网站能够适用不同显示终端,在浏览器中调整网站的宽度,无论在任何一种浏览器上浏览网站,都能展现优雅布局与设计,从而大程度地提升浏览体验。成都创新互联公司从事“崇明网站设计”,“崇明网站推广”以来,每个客户项目都认真落实执行。
使用python环境,
部分工具需要使用python2的版本,所以我本机装了python2.7和python3.5版本
在python2.7的安装目录将python.exe改为python2.exe,并将路径写入环境变量,这样就可以完成切换,别忘了安装pip【https://pypi[.]python[.]org/pypi/pip】
安装pip失败
安装settools【https://pypi[.]python[.]org/pypi/setuptools】
再安装pip成功
同理我们将pip.exe改为pip2.exe并写入环境变量
修改后的两个文件名
2.使用oledump
安装模块olefile
pip install olefile
下载oledump
使用oledump
使用-s选项选择模块,查看数据,我这里选择第7个
则oledump -s 7 filename
文件需要用正确的文件后缀,要不然看不到数据。。。。我也服了
使用-v转换对应模块为vbs文档
具体宏功能就不看了。
还有很多功能请使用-h查看学习
3.使用officeMalscanner.exe查看宏
使用-h查看帮助文档
office要xml格式才能解析。。。。,先暂停使用。
记住使用inflate解压 info提取宏就可以了。。。。
4.使用oletools
下载安装
在目录tools下,使用olevbapy
-c: 只显示word中的宏代码
-a: 自动分析word是否可疑
oletools还有很多可用的,。。。自己到目录下查看吧
样本:
(1)SHA256 41a84ee951ec7efa36dc16c70aaaf6b8e6d1bce8bd9002d0a b5236197eb3b32a
(2)md5: 370751889f591000daa40c400d0611f2
(3)WIN_019_11.doc, SHA256 6780af202bf7534fd7fcfc37aa57e5a998e188ca7d65e22c0ea658 c73fad36a2
(4)WIN_019_11.doc, SHA256 f36cb4c31ee6cbce90b5d879cd2a97bcfe23a38d37365196c25e 6ff6a9f8aaa6
感谢同事的分享,学习啦
分享名称:office宏分析
分享链接:https://www.cdcxhl.com/article34/ieecpe.html
成都网站建设公司_创新互联,为您提供品牌网站制作、静态网站、服务器托管、网站内链、标签优化、外贸建站
声明:本网站发布的内容(图片、视频和文字)以用户投稿、用户转载内容为主,如果涉及侵权请尽快告知,我们将会在第一时间删除。文章观点不代表本网站立场,如需处理请联系客服。电话:028-86922220;邮箱:631063699@qq.com。内容未经允许不得转载,或转载时需注明来源: 创新互联