Office file analysis

从零开始学习AWS黑客技术，成为专家 htARTE（HackTricks AWS Red Team Expert）！

支持HackTricks的其他方式：

• 如果您想看到您的公司在HackTricks中做广告或下载PDF格式的HackTricks，请查看订阅计划!

• 获取官方PEASS & HackTricks周边产品

• 探索PEASS家族，我们的独家NFT收藏品

• 加入 💬 Discord群组 或 电报群组 或 关注我们的Twitter 🐦 @hacktricks_live。

• 通过向HackTricks和HackTricks Cloud github仓库提交PR来分享您的黑客技巧。

使用Trickest可以轻松构建和自动化工作流程，使用世界上最先进的社区工具。 立即获取访问权限：

Automate OffSec, EASM, and Custom Security Processes | Trickest

有关更多信息，请查看https://trailofbits.github.io/ctf/forensics/。这只是一个摘要：

微软创建了许多办公文档格式，其中两种主要类型是OLE格式（如RTF、DOC、XLS、PPT）和Office Open XML（OOXML）格式（如DOCX、XLSX、PPTX）。这些格式可以包含宏，使它们成为钓鱼和恶意软件的目标。OOXML文件结构化为zip容器，允许通过解压缩进行检查，揭示文件和文件夹层次结构以及XML文件内容。

为了探索OOXML文件结构，给出了解压缩文档的命令和输出结构。已记录了在这些文件中隐藏数据的技术，表明在CTF挑战中数据隐藏方面的持续创新。

对于分析，oletools和OfficeDissector提供了用于检查OLE和OOXML文档的全面工具集。这些工具有助于识别和分析嵌入的宏，这些宏通常用作恶意软件传递的向量，通常会下载并执行其他恶意负载。可以使用Libre Office进行VBA宏的分析，而无需Microsoft Office，Libre Office允许使用断点和监视变量进行调试。

oletools的安装和使用非常简单，提供了通过pip安装和从文档中提取宏的命令。自动执行宏是通过AutoOpen、AutoExec或Document_Open等函数触发的。

sudo pip3 install -U oletools
olevba -c /path/to/document #Extract macros

使用Trickest轻松构建并自动化由全球最先进的社区工具提供支持的工作流程。 立即获取访问权限：

Automate OffSec, EASM, and Custom Security Processes | Trickest

从零开始学习AWS黑客技术，成为专家 htARTE（HackTricks AWS Red Team Expert）！

支持HackTricks的其他方式：

• 如果您想看到您的公司在HackTricks中做广告或下载PDF格式的HackTricks，请查看订阅计划!

• 获取官方PEASS & HackTricks周边产品

• 发现PEASS家族，我们的独家NFTs

• 加入 💬 Discord群组 或 电报群组 或在Twitter上关注我们 🐦 @hacktricks_live。

• 通过向HackTricks和HackTricks Cloud github仓库提交PR来分享您的黑客技巧。