恶意文档分析

何时使用 / 何时不用

用：钓鱼附件（PDF/Office/RTF）、文档漏洞利用样本、宏文档、文档型恶意载荷
用：仅拿到单文档样本，需还原载荷提取链（宏 → 脚本 → 可执行 → 回连）
不用：纯脚本宏（转 re-script-deob）；文档仅是载体（核心逻辑在下载载荷）
不用：只有网页/邮件网关侧元数据（无样本文件本身）——先要样本再分析
注意：动态打开文档必须沙箱（re-sandbox，re-analyze/platform-tips 最高原则）；文档可能检测环境后不触发（见坑 6）

工具准备

pdf-parser / pdfid（PDF 结构分析）

Linux: apt install pdf-parser pdfid（Kali 常预装；Debian/Ubuntu 仓库同名包）或 GitHub DidierStevens/DidierStevensSuite 源码运行；macOS: brew install pdf-parser / pip
Windows: pip（WSL 亦可）
验证: pdf-parser --version（无则 python3 pdf_parser.py --help）；pdfid.py sample.pdf 能输出对象计数
补充（备注：peepdf 已归档、Python 2 时代，PyPI 仅 0.3.6——首选 pdf-parser/pdfid）

qpdf（PDF 流解压，可选）

Linux: apt install qpdf；macOS: brew install qpdf
验证: qpdf --version
用途: 展开对象流/压缩流为可读形式（qpdf --qdf --object-streams=disable in.pdf out.pdf），配合 -d dump 对照

olevba / rtfobj（Office/RTF 宏与嵌入对象提取）

多平台: pip install oletools（oletools 内含 olevba、rtfobj、oleobj、msodde、oleid、mraptor 等）
验证: olevba --help；rtfobj --help
注意: oledump 不在 oletools 包内——是独立工具（GitHub DidierStevens/DidierStevensSuite 取 oledump.py，需 pip install olefile 依赖；python3 oledump.py -s <流号> <文件> 按流转储）

xlmdeobfuscator（Excel 4.0 宏去混淆，可选）

pip install xlmdeobfuscator
验证: xlmdeobfuscator --help
适用: .xls 里的 XLM 宏表（olevba 0.54+ 已能识别 XLM，混淆深时用本工具还原）

LibreOffice（沙箱打开验证，可选）

Linux: apt install libreoffice / dnf install libreoffice；macOS: brew install --cask libreoffice；Windows: 官方安装包
验证: libreoffice --version
注意: LibreOffice 默认不执行 VBA 宏（宏安全性限制）——沙箱里要验证宏行为需装真实 Office 或改 LibreOffice 宏安全设置（见 gotchas）

7z（OLE/OOXML 解包）

Linux: apt install p7zip-full；macOS: brew install sevenzip；Windows: 官方安装包
验证: 7z --help
7z 可直接列出 OLE 复合文档内部流（WordDocument/1Table/VBA/PROJECT 等）与 OOXML 包内文件

操作步骤

按顺序执行；每步产物存档（路径 + sha256，见 re-triage）。

文档类型识别：
```
file sample.pdf sample.docm sample.rtf
```
- PDF：%PDF 头；Office 旧格式：CFB（OLE 复合文档，D0 CF 11 E0）；OOXML：zip（PK）；RTF：{\rtf
- 类型决定后续工具链；多类型混合（如 PDF 内嵌 OLE）按各分支分别走
PDF 静态分析：
```
pdfid.py sample.pdf                       # 对象计数，恶意特征速览
pdf-parser -f sample.pdf | head -50       # 对象树遍历（-f 经过 filter 解压流）
pdf-parser -s /JS sample.pdf              # JavaScript 动作
pdf-parser -s /OpenAction sample.pdf      # 打开即执行动作
pdf-parser -O sample.pdf                  # 解析对象流（ObjStm）内的对象
```
- 恶意特征：/JS（JavaScript 动作）、/OpenAction（打开触发）、/AA（附加动作，页级/文档级）、/Launch（外部程序）、/EmbeddedFile（嵌入文件）、/RichMedia（Flash 遗留）
- 漏洞文档：/JBIG2Decode（JBIG2 漏洞）、/RichMedia 等 CVE 对应结构——按结构特征（非版本号）对照已知利用模式
- JS 载荷 → re-script-deob 还原；结构可疑但对象树不全时先 qpdf --qdf --object-streams=disable 展开再看
Office 宏提取：
```
olevba -c sample.docm > macro.txt        # 提取宏源码（-c 只输出源码）
olevba --decode -c sample.docm > macro_decoded.txt  # 自动解常见字符串混淆（--decode 自 oletools 0.24 起；源码内解码串显示用 --reveal）
olevba --deobf -c sample.docm            # 表达式级去混淆（0.46+）
strings sample.docm | grep -iE 'DDEAUTO|http|powershell' | head
```
- 宏链入口：Word Document_Open / AutoOpen / AutoExec；Excel Workbook_Open / Auto_Open；表单控件/快捷键/自定义按钮触发也不少见
- 其他向量：DDE 域（DDEAUTO，较新 Word 默认禁用——旧版仍触发）、外部链接（/hyperlink）、OLE 嵌入对象（oleobj 提取后逐个分析）、Excel 4.0 XLM 宏表（xlmdeobfuscator）
- olevba 输出警告 VBA stomping 时注意：实际执行的是 P-code 而非提取出的源码（见坑 2）
- 宏载荷 → re-script-deob 去混淆链
RTF 分析：
```
rtfobj sample.rtf        # 列出嵌入 OLE 对象与 CLSID
```
- RTF 可整篇 \'XX 十六进制转义混淆——先还原转义再查关键字
- 嵌入对象（\objdata）提取后按 OLE/CFB 分支继续；漏洞文档常见 \pict 内嵌数据
模板注入与关系文件（OOXML）：
```
7z l sample.docx | head -40
7z x sample.docx -oext/
grep -r 'TargetMode="External"' ext/word/_rels/ 2>/dev/null
```
- 检查全部 rels 文件：document.xml.rels 中 attachedTemplate / externalLink 外部目标 = 远程模板注入
- 模板注入让文档无宏也有外联行为（远程模板带宏）——解包后逐个 rels 核对
载荷提取：
- 提取项：脚本/URL/二进制/多级载荷（每层存档编号 + sha256，路径与哈希进 re-analyze/analysis-contract）
- 指标提取 → re-ioc（URL/域名/哈希）；提取物初勘 → re-triage
- 多级链（文档 → 脚本 → 下载器 → 可执行）逐层展开，每层注明触发方式
动态验证（沙箱）：
- re-sandbox 内用 LibreOffice/阅读器打开，网络隔离（INetSim/fake DNS）
- 观察：文件释放、进程链、网络回连（re-behavior 衔接）；延长观察窗口、模拟用户交互对抗延迟执行（见坑 6）
- 宏执行验证优先用真实 Office（LibreOffice 默认不执行 VBA，见工具准备）

跨域联合

re-malware 网关：本技能归属（选择树「钓鱼附件」分支）
re-script-deob：宏/JS 去混淆还原
re-sandbox：动态打开强制前置
re-ioc：提取指标
re-behavior：行为验证衔接
re-triage：哈希/初勘与载荷提取存证

常见坑与陷阱

PDF 对象流压缩未解：现象——pdf-parser 输出无 /JS；原因——对象在 FlateDecode 压缩流或 ObjStm 内；对策——-f 强制解压、-O 展开对象流再查
VBA stomping（执行与源码不一致）：现象——olevba 提取的源码看起来无害/乱码，但动态行为异常；原因——Office 执行编译后的 P-code，源码只是存档（可被替换/截断）；对策——olevba 警告时以动态行为为准，必要时 pcodedmp 反汇编 P-code 对照
宏被混淆：现象——olevba 提取后满屏拼接/编码；原因——宏混淆；对策——--decode/--reveal/--deobf 逐层解，re-script-deob 去混淆链
文档漏洞版本特征：现象——结构特征与已知 CVE 不符；原因——利用代码针对特定版本；对策——按结构特征（非版本号）对照利用模式，标注版本假设
MOTW 拦宏（沙箱执行失败）：现象——沙箱里打开文档宏不触发；原因——下载文件带 Mark-of-the-Web（Zone.Identifier），Office 2016+ 默认拦截其宏；对策——Windows 侧 Unblock-File（PowerShell）或删 Zone.Identifier ADS 后再开；检测型文档见坑 6
沙箱检测文档（延迟执行）：现象——沙箱内无行为；原因——文档检测环境后不触发或推迟触发；对策——延长观察窗口、模拟用户交互（滚动/点击/Office 版本核对）
模板注入易漏：现象——宏正常但仍有外联；原因——/word/_rels 远程模板；对策——解包后检查全部 rels 文件（步骤 5）
工具差异与更多边界（oledump 用法、RTF 反例、LibreOffice 宏设置）见 gotchas 与 decision-tree

8.7 KiB Raw Blame History Unescape Escape

恶意文档分析

何时使用 / 何时不用

工具准备

pdf-parser / pdfid（PDF 结构分析）

qpdf（PDF 流解压，可选）

olevba / rtfobj（Office/RTF 宏与嵌入对象提取）

xlmdeobfuscator（Excel 4.0 宏去混淆，可选）

LibreOffice（沙箱打开验证，可选）

7z（OLE/OOXML 解包）

操作步骤

跨域联合

常见坑与陷阱

8.7 KiB

Raw Blame History